Fluent Forms <= 6.1.7 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Form Creation via AI Builder

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Fluent Forms, que permite la creación arbitraria de formularios por parte de usuarios autenticados con rol de suscriptor o superior. Esta vulnerabilidad afecta a las versiones hasta la 6.1.7 y ha sido corregida en la versión 6.1.8.

Contexto técnico

La vulnerabilidad se origina por la falta de autorización adecuada en el proceso de creación de formularios mediante el AI Builder, lo que permite a los usuarios no autorizados acceder a funcionalidades que deberían estar restringidas. Esto expone el sistema a la manipulación de formularios sin los permisos necesarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a los atacantes crear formularios maliciosos que podrían recopilar información sensible de los usuarios o alterar la funcionalidad del sitio. Esto podría llevar a la pérdida de confianza por parte de los usuarios y posibles daños a la reputación de la empresa.

Vector de explotación

Los atacantes podrían explotar esta vulnerabilidad accediendo al AI Builder como usuarios autenticados con rol de suscriptor o superior, lo que les permitiría crear formularios arbitrarios sin la debida autorización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Fluent Forms a la versión 6.1.8 o superior. Además, se sugiere revisar los roles y permisos de los usuarios autenticados para asegurarse de que no tengan acceso innecesario a funcionalidades críticas.

Señales de detección

Se deben monitorizar los registros de actividad del plugin para detectar intentos inusuales de creación de formularios por usuarios con permisos limitados. También es recomendable establecer alertas para cambios en la configuración del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 6.1.8 del plugin Fluent Forms. Esto incluye todas las instalaciones que utilicen estas versiones en sus sitios web.