Forminator – Contact Form, Payment Form & Custom Form Builder <= 1.29.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via forminator_form Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Forminator, que afecta a las versiones hasta la 1.29.2. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior ejecutar scripts maliciosos a través del shortcode forminator_form.

Contexto técnico

El fallo se origina en la forma en que el plugin gestiona la entrada de datos a través del shortcode forminator_form. La falta de validación adecuada permite que scripts maliciosos sean almacenados y posteriormente ejecutados en el navegador de otros usuarios, facilitando ataques de XSS.

Impacto potencial

El impacto potencial incluye el robo de información sensible, la manipulación de sesiones de usuario y la posible toma de control de cuentas. Esto puede resultar en daños a la reputación de la empresa y en la pérdida de confianza por parte de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se lleva a cabo por un usuario autenticado que crea o edita un formulario utilizando el shortcode afectado, insertando código JavaScript malicioso que se ejecutará cuando otros usuarios visualicen el formulario.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Forminator a la versión 1.29.3 o superior. Además, es aconsejable revisar y sanitizar adecuadamente las entradas de los usuarios en formularios y aplicar políticas de seguridad de contenido (CSP).

Señales de detección

Las señales de posible explotación incluyen la aparición de scripts no autorizados en las respuestas de formularios o en las páginas donde se implementan. También se deben monitorizar los registros de actividad de los usuarios para detectar acciones inusuales.

Alcance afectado

Las versiones del plugin Forminator hasta la 1.29.2 están afectadas. Se recomienda a los administradores de sitios que utilicen este plugin que realicen la actualización inmediatamente.