Metform Elementor Contact Form Builder <= 3.3.2 - Cross-Site Request Forgery via permalink_setup

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Metform Elementor Contact Form Builder, afectando a la versión 3.3.2 y anteriores. Esta vulnerabilidad puede permitir a un atacante realizar acciones no autorizadas en nombre de un usuario autenticado.

Contexto técnico

El fallo se produce debido a la falta de verificación adecuada de los tokens CSRF en las solicitudes que modifican la configuración de los enlaces permanentes. Esto permite que un atacante envíe solicitudes maliciosas que pueden alterar la configuración del plugin sin el consentimiento del usuario.

Impacto potencial

El impacto de esta vulnerabilidad puede ser moderado, ya que permite a un atacante realizar acciones no autorizadas, lo que podría comprometer la integridad de los formularios y la información recopilada. Esto podría afectar la confianza de los usuarios y la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad se realiza típicamente mediante el envío de un enlace malicioso a un usuario autenticado, que al hacer clic en él, ejecuta acciones no deseadas en el sistema, como la modificación de configuraciones del plugin.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Metform Elementor Contact Form Builder a la versión 3.3.3 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de solicitudes y el uso de tokens CSRF en todas las interacciones del usuario.

Señales de detección

Se pueden detectar intentos de explotación observando patrones inusuales en las solicitudes HTTP que modifiquen la configuración del plugin, así como revisando los registros de actividad para identificar accesos no autorizados.

Alcance afectado

Las versiones afectadas incluyen Metform Elementor Contact Form Builder hasta la 3.3.2. Las instalaciones que no han sido actualizadas a la versión 3.3.3 están en riesgo.