Form Maker by 10Web <= 1.15.29 - Authenticated (Admin+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenado en el plugin Form Maker by 10Web, afectando a versiones hasta la 1.15.29. Esta vulnerabilidad puede ser explotada por usuarios autenticados con privilegios de administrador.

Contexto técnico

La vulnerabilidad permite la inyección de scripts maliciosos en las entradas de formularios, lo que puede llevar a la ejecución de código en el navegador de otros usuarios. La superficie de ataque se centra en la gestión de formularios dentro del plugin, donde los datos no son adecuadamente sanitizados.

Impacto potencial

El impacto potencial incluye la posibilidad de robo de información sensible, suplantación de identidad y la manipulación de la experiencia del usuario. Esto puede afectar gravemente la confianza del cliente y la reputación de la empresa.

Vector de explotación

La explotación se realiza mediante el envío de datos manipulados a través de formularios, donde un atacante autenticado puede insertar código JavaScript malicioso que se ejecutará en el navegador de otros administradores o usuarios.

Mitigación recomendada

Actualizar el plugin Form Maker by 10Web a la versión 1.15.30 o superior. Además, se recomienda implementar medidas de sanitización y validación de entradas en todos los formularios del sitio.

Señales de detección

Señales de riesgo incluyen la presencia de scripts inusuales en las respuestas de formularios, así como comportamientos anómalos en la interacción de usuarios autenticados con el sistema.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.15.30 del plugin Form Maker by 10Web.