Forminator Forms – Contact Form, Payment Form & Custom Form Builder <= 1.49.1 - Missing Authorization to Authenticated (Forminator User+) CSV Export

Resumen ejecutivo

Se ha identificado una vulnerabilidad de autorización en el plugin Forminator Forms, que afecta a las versiones hasta la 1.49.1. Esta falla permite a usuarios autenticados exportar datos CSV sin la debida autorización, lo que puede comprometer la privacidad de la información.

Contexto técnico

La vulnerabilidad se origina en la falta de controles adecuados de autorización en el proceso de exportación de datos CSV. Esto significa que cualquier usuario autenticado puede acceder a información sensible que no debería estar a su alcance, aumentando la superficie de ataque del sistema.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite el acceso no autorizado a datos sensibles, lo que podría resultar en la exposición de información personal o financiera. Esto no solo afecta la seguridad de la instalación, sino que también puede dañar la reputación del negocio y generar problemas de cumplimiento normativo.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad accediendo al panel de usuario autenticado y utilizando la funcionalidad de exportación de CSV, lo que les permite obtener datos que no deberían estar disponibles para ellos.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Forminator Forms a la versión 1.49.2 o superior. Además, se sugiere revisar los permisos de usuario y aplicar controles de acceso más estrictos para la exportación de datos.

Señales de detección

Se pueden detectar intentos de explotación mediante registros inusuales de exportación de datos o accesos no autorizados a funciones de exportación por parte de usuarios que no deberían tener esos permisos.

Alcance afectado

Las versiones del plugin Forminator Forms hasta la 1.49.1 están afectadas por esta vulnerabilidad. Se recomienda a los usuarios de estas versiones realizar la actualización a la versión segura lo antes posible.