Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder <= 1.15.25 - Authenticated (Admin+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Form Maker by 10Web, afectando a versiones anteriores a la 1.15.26. Esta vulnerabilidad permite a un usuario autenticado con privilegios de administrador ejecutar scripts maliciosos en el contexto del navegador de otros usuarios.

Contexto técnico

El fallo se presenta en el manejo de entradas en el plugin, lo que posibilita la inyección de scripts maliciosos que se almacenan en el servidor y se ejecutan posteriormente. Esto se traduce en un riesgo para los usuarios que interactúan con formularios afectados, ya que podrían ser víctimas de ataques de phishing o robo de información.

Impacto potencial

El impacto potencial de esta vulnerabilidad es de severidad media, con un CVSS de 4.4. Un ataque exitoso podría comprometer la integridad de los datos de los usuarios y la confianza en la plataforma, lo que podría resultar en pérdidas económicas y reputacionales para la organización.

Vector de explotación

La explotación de esta vulnerabilidad suele llevarse a cabo mediante la creación de formularios manipulados que, al ser enviados por un administrador, almacenan scripts maliciosos. Posteriormente, otros usuarios que accedan a estos formularios podrían ejecutar el código malicioso sin saberlo.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 1.15.26 o superior. Además, se sugiere revisar los formularios existentes para detectar posibles inyecciones de scripts y aplicar medidas de sanitización de entradas.

Señales de detección

Las señales que pueden indicar un riesgo incluyen la aparición de comportamientos inusuales en formularios, como redirecciones inesperadas o la ejecución de scripts no autorizados en el navegador de los usuarios.

Alcance afectado

Las versiones del plugin Form Maker by 10Web anteriores a la 1.15.26 están afectadas por esta vulnerabilidad. Es crucial verificar la versión instalada en cada sitio que utilice este plugin.