Forminator Forms – Contact Form, Payment Form & Custom Form Builder <= 1.35.1 - Cross-Site Request Forgery to Draft Quiz Creation

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Forminator Forms, que afecta a las versiones hasta la 1.35.1. Esta falla permite la creación no autorizada de cuestionarios en el sistema.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las solicitudes, permitiendo que un atacante envíe peticiones maliciosas en nombre de un usuario autenticado. Esto afecta a la superficie de ataque del plugin, ya que puede ser explotado a través de formularios manipulados.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la creación de cuestionarios no deseados, lo que podría comprometer la integridad de los datos y la confianza de los usuarios en el sitio. Esto puede tener repercusiones negativas en la reputación del negocio y en la experiencia del usuario.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando un enlace engañoso a un usuario autenticado, que al hacer clic en él, ejecuta acciones no autorizadas en el sistema sin su conocimiento.

Mitigación recomendada

Actualizar el plugin Forminator Forms a la versión 1.36.0 o superior. Además, se recomienda implementar medidas de seguridad adicionales, como la validación de tokens CSRF en todos los formularios y la revisión de permisos de usuario.

Señales de detección

Señales de posible explotación incluyen la creación de cuestionarios inusuales en el sistema, así como la presencia de peticiones HTTP sospechosas que no provienen de usuarios autenticados.

Alcance afectado

Las versiones del plugin Forminator Forms hasta la 1.35.1 son vulnerables. Es crucial verificar las instalaciones que utilizan este plugin para asegurar su actualización.