Form Maker by 10Web <= 1.15.32 - Authenticated (Admin+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Form Maker de 10Web, que afecta a versiones hasta la 1.15.32. Este fallo permite a un atacante autenticado ejecutar scripts maliciosos en el contexto de los usuarios afectados.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la entrada de datos, permitiendo que se almacenen scripts maliciosos que se ejecutan posteriormente en el navegador de otros usuarios. Este tipo de fallo se clasifica como XSS almacenado, donde el código malicioso se persiste en la base de datos del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante autenticado ejecutar código JavaScript en el navegador de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Esto puede dañar la reputación del negocio y comprometer la seguridad de los datos de los usuarios.

Vector de explotación

Generalmente, la explotación de esta vulnerabilidad requiere que el atacante tenga acceso como administrador. Una vez autenticado, puede inyectar scripts maliciosos a través de formularios del plugin, que luego se ejecutan cuando otros usuarios acceden a las páginas afectadas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Form Maker a la versión 1.15.33 o superior. Además, es aconsejable revisar y sanitizar adecuadamente todas las entradas de usuario y aplicar políticas de seguridad de contenido (CSP) para limitar la ejecución de scripts no autorizados.

Señales de detección

Señales de riesgo incluyen la presencia de scripts inusuales en las páginas que utilizan el plugin, así como reportes de comportamientos extraños por parte de los usuarios, como redirecciones inesperadas o la aparición de contenido no autorizado.

Alcance afectado

Las versiones del plugin Form Maker hasta la 1.15.32 son las afectadas. Es crucial que los administradores de sitios que utilicen este plugin verifiquen su versión y apliquen las actualizaciones necesarias.