Zigaform – Form Builder Lite <= 7.4.2 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Zigaform – Form Builder Lite, que afecta a las versiones hasta la 7.4.2. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuyente o superior ejecutar scripts maliciosos en el navegador de otros usuarios.

Contexto técnico

El fallo se presenta en la forma en que el plugin maneja la entrada de datos, permitiendo que scripts maliciosos se almacenen y se ejecuten en el contexto de otros usuarios. Esto se traduce en una superficie de ataque que puede ser explotada por usuarios con permisos adecuados para modificar formularios.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad de los datos de los usuarios y permitir ataques de phishing o robo de información sensible. Esto puede resultar en pérdidas económicas y daños a la reputación de la organización afectada.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la inyección de código JavaScript en campos de formularios que son posteriormente visualizados por otros usuarios, lo que permite la ejecución del script en su navegador.

Mitigación recomendada

Actualizar el plugin Zigaform – Form Builder Lite a la versión 7.4.8 o superior. Además, se recomienda revisar las configuraciones de seguridad de los formularios y aplicar medidas de validación y sanitización de entradas.

Señales de detección

Señales de posible explotación incluyen reportes de comportamientos inusuales en formularios, como redirecciones no autorizadas o la aparición de contenido extraño en la interfaz de usuario.

Alcance afectado

Las versiones del plugin Zigaform – Form Builder Lite hasta la 7.4.2 están afectadas. Se aconseja a los usuarios que verifiquen la versión de su instalación.