Form-Maker (twb_form-maker) <= 1.15.21 - Cross-Site Request Forgery to Limited Code Execution via Execute

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Form-Maker, que permite la ejecución limitada de código. Esta vulnerabilidad afecta a las versiones anteriores a la 1.15.22 y tiene una severidad media.

Contexto técnico

La vulnerabilidad CSRF permite a un atacante ejecutar acciones no autorizadas en el contexto de un usuario autenticado. En este caso, se puede llegar a ejecutar código de manera limitada, comprometiendo la integridad de la instalación de WordPress.

Impacto potencial

Si se explota esta vulnerabilidad, un atacante podría realizar acciones no deseadas en el sitio web, lo que podría comprometer datos sensibles o alterar la funcionalidad del plugin. Esto podría tener repercusiones en la confianza del usuario y en la reputación del negocio.

Vector de explotación

La explotación se lleva a cabo a través de solicitudes maliciosas que engañan al usuario autenticado para que realice acciones sin su consentimiento, aprovechando la falta de validación adecuada de las solicitudes.

Mitigación recomendada

Actualizar el plugin Form-Maker a la versión 1.15.22 o superior. Además, se recomienda implementar medidas de seguridad adicionales como la validación de solicitudes y el uso de tokens CSRF en formularios.

Señales de detección

Señales de riesgo incluyen actividades inusuales en los registros de acceso, cambios no autorizados en la configuración del plugin y reportes de comportamiento extraño por parte de los usuarios.

Alcance afectado

Las versiones del plugin Form-Maker anteriores a la 1.15.22 están afectadas por esta vulnerabilidad, lo que incluye instalaciones que utilizan el plugin en sus versiones anteriores.