Forminator Forms – Contact Form, Payment Form & Custom Form Builder <= 1.35.1 - Missing Authorization to Authenticated (Contributor+) Form Update and Creation

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Forminator Forms, que permite a usuarios autenticados con rol de colaborador o superior actualizar y crear formularios sin la debida autorización. Esta vulnerabilidad, clasificada con un CVSS de 7.5, puede comprometer la integridad de los datos gestionados a través de los formularios.

Contexto técnico

El fallo se produce debido a la falta de controles de autorización adecuados en las funciones de actualización y creación de formularios del plugin. Esto permite que usuarios que no deberían tener acceso a estas funciones puedan manipular formularios, lo que representa una superficie de ataque significativa para la aplicación.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la creación o modificación no autorizada de formularios, lo que podría resultar en la recopilación de datos sensibles o en la alteración de la funcionalidad del sitio. Esto podría afectar la reputación del negocio y la confianza de los usuarios, además de posibles implicaciones legales por la gestión inadecuada de datos.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad al autenticarse como usuarios con rol de colaborador o superior y ejecutar funciones de creación o actualización de formularios, sin que se validen sus permisos adecuadamente.

Mitigación recomendada

Se recomienda actualizar el plugin Forminator Forms a la versión 1.36.0 o superior, donde se ha corregido esta vulnerabilidad. Además, se sugiere revisar los roles y permisos asignados a los usuarios para limitar el acceso a funciones críticas.

Señales de detección

Se deben monitorizar los registros de actividad del plugin para detectar intentos inusuales de creación o modificación de formularios por parte de usuarios con rol de colaborador. También es recomendable establecer alertas para cualquier cambio en formularios que no corresponda a las prácticas normales de uso.

Alcance afectado

Las versiones del plugin Forminator Forms hasta la 1.35.1 son vulnerables. Se aconseja a los administradores de sitios que utilicen este plugin que realicen la actualización lo antes posible.