Forminator Forms – Contact Form, Payment Form & Custom Form Builder <= 1.44.2 - Unauthenticated PHP Object Injection (PHAR) Triggered via Administrator Form Submission Deletion

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Forminator Forms, que permite la inyección de objetos PHP no autenticados a través de la eliminación de formularios por parte de administradores. Esta falla afecta a versiones hasta la 1.44.2 y puede comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se origina en un fallo de validación en la gestión de formularios, permitiendo a un atacante no autenticado ejecutar código PHP malicioso al eliminar formularios a través de una solicitud específica. Este tipo de inyección puede ser desencadenada por la manipulación de datos en el proceso de eliminación.

Impacto potencial

El impacto de esta vulnerabilidad es significativo, ya que permite a un atacante obtener acceso no autorizado a la ejecución de código en el servidor, lo que podría llevar a la toma de control total del sitio web. Esto puede resultar en pérdida de datos, daños a la reputación y posibles sanciones legales.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes manipuladas que aprovechan la falta de autenticación en la eliminación de formularios, lo que les permite inyectar código malicioso sin necesidad de credenciales.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Forminator a la versión 1.44.3 o superior. Además, es aconsejable revisar los registros de actividad del plugin y aplicar medidas de seguridad adicionales, como la limitación de privilegios de usuario y la implementación de firewalls.

Señales de detección

Señales de posible explotación incluyen registros de actividad inusuales relacionados con la eliminación de formularios, así como intentos de acceso no autorizado a la administración del plugin.

Alcance afectado

Las versiones afectadas de este plugin son todas las anteriores a la 1.44.3. Es crucial que los administradores de sitios que utilizan este plugin verifiquen su versión y apliquen las actualizaciones necesarias.