Form Maker by 10Web <= 1.15.30 - Authenticated (Admin+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Form Maker de 10Web, que afecta a las versiones hasta la 1.15.30. Esta vulnerabilidad permite a un atacante autenticado ejecutar scripts maliciosos en el contexto de la víctima.

Contexto técnico

El fallo se produce debido a la falta de validación y escape de datos en las entradas del usuario, lo que permite la inyección de scripts maliciosos. La superficie de ataque se limita a usuarios con privilegios de administrador, lo que eleva el riesgo de explotación.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la integridad de los datos del sitio y permitir a un atacante realizar acciones no autorizadas, afectando la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad al enviar datos manipulados a través de formularios, que luego se almacenan y se ejecutan en el navegador de otros usuarios autenticados.

Mitigación recomendada

Actualizar el plugin Form Maker a la versión 1.15.31 o superior. Además, se recomienda implementar medidas de seguridad adicionales como la validación de entradas y el uso de políticas de seguridad de contenido (CSP).

Señales de detección

Señales de riesgo incluyen la aparición de scripts no autorizados en las páginas del sitio y reportes de actividad sospechosa por parte de usuarios autenticados.

Alcance afectado

Las versiones del plugin Form Maker hasta la 1.15.30 están afectadas por esta vulnerabilidad.