Contact Form by WPForms – Drag & Drop Form Builder for WordPress <= 1.8.7.2 - Unauthenticated Price Manipulation

Resumen ejecutivo

Se ha identificado una vulnerabilidad de manipulación de precios en el plugin WPForms Lite, que afecta a versiones hasta la 1.8.7.2. Esta vulnerabilidad permite a los atacantes no autenticados modificar precios de formularios, lo que puede tener consecuencias económicas para los propietarios de sitios web.

Contexto técnico

La vulnerabilidad se clasifica como un bypass de autenticación, lo que significa que no se requiere autenticación para aprovecharla. Los atacantes pueden manipular los precios de los formularios creados con WPForms Lite, afectando la integridad de los datos enviados a través de estos formularios.

Impacto potencial

El impacto potencial incluye pérdidas económicas debido a cambios no autorizados en los precios de productos o servicios ofrecidos a través de formularios. Además, puede comprometer la confianza de los usuarios en la plataforma, afectando la reputación del negocio.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas a los formularios de WPForms Lite, lo que les permite alterar los precios sin necesidad de estar autenticados.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WPForms Lite a la versión 1.8.8.2 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de datos del lado del servidor y el uso de CAPTCHA en formularios.

Señales de detección

Señales de posible explotación incluyen registros de solicitudes inusuales a los formularios de WPForms Lite, especialmente aquellas que intentan modificar precios o parámetros críticos sin autenticación.

Alcance afectado

Las versiones afectadas de WPForms Lite son todas aquellas hasta la 1.8.7.2. Los usuarios que no han actualizado a la versión 1.8.8.2 o superior están en riesgo.