Forminator <= 1.44.1 - Authenticated (Contributor+) Stored DOM-Based Cross-Site Scripting via id and data-size Parameters

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Forminator, que afecta a las versiones hasta la 1.44.1. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos en el DOM.

Contexto técnico

El fallo se produce a través de los parámetros 'id' y 'data-size', lo que permite la ejecución de código JavaScript no autorizado en el contexto del navegador de otros usuarios. Esto se clasifica como un XSS almacenado basado en DOM, lo que significa que el código malicioso se almacena y se ejecuta en el navegador del usuario objetivo.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los datos de los usuarios y afectar la integridad del sitio web. Un atacante podría robar información sensible, como credenciales de usuario o cookies de sesión, lo que podría llevar a un acceso no autorizado y a la suplantación de identidad.

Vector de explotación

Generalmente, un atacante autenticado podría manipular los parámetros 'id' y 'data-size' para inyectar scripts maliciosos, que se ejecutarían cuando otros usuarios accedieran a las páginas afectadas.

Mitigación recomendada

Se recomienda actualizar el plugin Forminator a la versión 1.44.2 o superior, donde esta vulnerabilidad ha sido corregida. Además, es aconsejable revisar los permisos de usuario y aplicar políticas de seguridad que limiten las acciones de los usuarios con roles menos privilegiados.

Señales de detección

Se pueden observar comportamientos inusuales en el tráfico del sitio, como peticiones que intentan manipular los parámetros 'id' y 'data-size'. También se debe estar atento a la aparición de scripts no autorizados en el DOM de la aplicación.

Alcance afectado

Las versiones del plugin Forminator hasta la 1.44.1 son vulnerables. Se debe verificar la instalación del plugin en cualquier sitio que utilice versiones anteriores a la 1.44.2.