Fuente base de datos: Wordfence Intelligence

Forminator <= 1.27.0 - Authenticated (Administrator+) Arbitrary File Upload (subida arbitraria de archivos) - version 1.28.0

PLUGIN MEDIUM CVE-2023-6133

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Forminator, que permite la carga arbitraria de archivos por parte de usuarios autenticados con privilegios de administrador. Esta vulnerabilidad afecta a las versiones anteriores a la 1.28.0 y tiene un nivel de severidad medio.

Contexto técnico

La vulnerabilidad se origina en la gestión inadecuada de las cargas de archivos, lo que permite a un atacante autenticado subir archivos maliciosos al servidor. Esto puede comprometer la integridad del sistema y facilitar ataques adicionales.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de código malicioso en el servidor, lo que podría resultar en la pérdida de datos, alteración de la funcionalidad del sitio web y un daño significativo a la reputación de la organización.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad accediendo al panel de administración del plugin y utilizando las funciones de carga de archivos para subir archivos no autorizados.

Mitigación recomendada

Actualizar el plugin Forminator a la versión 1.28.0 o superior. Además, se recomienda revisar los permisos de usuario y aplicar políticas de seguridad más estrictas en la carga de archivos.

Señales de detección

Señales de riesgo incluyen la aparición de archivos inesperados en el servidor, cambios en la configuración del plugin y actividad inusual en los registros de acceso del administrador.

Alcance afectado

Las versiones del plugin Forminator anteriores a la 1.28.0 están afectadas. Se recomienda a los administradores de sitios que utilicen este plugin verificar su versión y realizar la actualización correspondiente.

Vulnerabilidades relacionadas

HIGH PLUGIN

gutenbee

GutenBee <= 2.20.1 - Authenticated (Author+) Arbitrary File Upload via wp_check_filetype_and_ext Filter

MEDIUM PLUGIN

forminator

Forminator Forms <= 1.53.0 - Missing Authorization to Authenticated (Subscriber+) Scheduled Form Submission Export via forminator_export_entries Action on wp_loaded Hook

HIGH PLUGIN

revslider

Slider Revolution 7.0.0 - 7.0.10 - Authenticated (Subscriber+) Arbitrary File Upload via _get_media_url

MEDIUM PLUGIN

forminator

Forminator Forms <= 1.51.1 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via 'forminator_action' Parameter

MEDIUM PLUGIN

forminator

Forminator – Contact Form, Payment Form & Custom Form Builder <= 1.52.0 - Missing Authorization to Unauthenticated Stripe PaymentIntent Reuse / Underpayment Bypass via 'paymentid' Parameter

HIGH PLUGIN

forminator

Forminator Forms – Contact Form, Payment Form & Custom Form Builder <= 1.52.1 - Unauthenticated Arbitrary File Read via 'upload-1[file][file_path]'

HIGH THEME

kids-online-store

Kids Online Store <= 0.8.9 - Authenticated (Subscriber+) Arbitrary File Upload

CRITICAL THEME

charity-zone

Charity Zone <= 1.1.1 - Authenticated (Subscriber+) Arbitrary File Upload

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto