Forminator Forms – Contact Form, Payment Form & Custom Form Builder <= 1.50.2 - Authenticated (Administrator+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin Forminator Forms, que afecta a las versiones hasta la 1.50.2. Este fallo permite a un atacante autenticado con privilegios de administrador ejecutar scripts maliciosos en el contexto de otros usuarios.

Contexto técnico

La vulnerabilidad se presenta en el manejo inadecuado de la entrada de datos por parte del plugin, lo que permite que un atacante almacene código JavaScript malicioso. Esta vulnerabilidad se clasifica como XSS almacenado, ya que el código se guarda en la base de datos y se ejecuta cuando otros usuarios acceden a la información comprometida.

Impacto potencial

El impacto potencial de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios, lo que podría resultar en el robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Esto puede afectar la reputación de la empresa y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad generalmente requiere que el atacante tenga acceso como administrador. Una vez autenticado, puede introducir código malicioso en los formularios gestionados por el plugin, que luego se ejecutará cuando otros usuarios interactúen con esos formularios.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Forminator a la versión 1.50.3 o superior. Además, es crucial realizar una revisión de los permisos de usuario y aplicar prácticas de validación y saneamiento de entradas en todos los formularios.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts inusuales en el contenido de los formularios o comportamientos anómalos en la interacción de los usuarios con el sitio web. Monitorear los registros de acceso y actividad de los usuarios también puede ayudar a detectar accesos no autorizados.

Alcance afectado

Las versiones del plugin Forminator Forms hasta la 1.50.2 están afectadas por esta vulnerabilidad. Es importante verificar las instalaciones que utilicen estas versiones para aplicar las actualizaciones necesarias.