Metform Elementor Contact Form Builder <= 3.3.1 - Authenticated (Subscriber+) Information Disclosure via 'mf_payment_status' shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de divulgación de información en el plugin Metform Elementor Contact Form Builder, que afecta a las versiones hasta la 3.3.1. Este fallo permite a usuarios autenticados con rol de suscriptor o superior acceder a información sensible a través del shortcode 'mf_payment_status'.

Contexto técnico

La vulnerabilidad se origina en el manejo inadecuado de datos al utilizar el shortcode 'mf_payment_status', lo que permite a usuarios no autorizados obtener información que debería estar restringida. La exposición de esta información puede comprometer la seguridad de la instalación de WordPress.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la divulgación de información sensible que podría ser utilizada para realizar ataques adicionales o comprometer la privacidad de los usuarios. Esto puede afectar la confianza de los clientes y la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante la utilización del shortcode 'mf_payment_status' en una página accesible, lo que permite a los atacantes con credenciales de suscriptor o superiores acceder a información que no deberían poder ver.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Metform Elementor Contact Form Builder a la versión 3.3.2 o superior. Además, es aconsejable revisar los permisos de los roles de usuario y limitar el acceso a información sensible.

Señales de detección

Las señales de posible explotación incluyen accesos inusuales a páginas que utilizan el shortcode 'mf_payment_status' por parte de usuarios con rol de suscriptor o inferior, así como registros de errores que indiquen intentos de acceso a información restringida.

Alcance afectado

Las versiones afectadas de este plugin son todas las anteriores a la 3.3.2. Es importante verificar las instalaciones que utilizan Metform para asegurar que están actualizadas.