Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder <= 1.15.38 - Unauthenticated SQL Injection

Resumen ejecutivo

Se ha identificado una vulnerabilidad de inyección SQL no autenticada en el plugin Form Maker de 10Web, afectando a las versiones hasta 1.15.38. Esta falla puede permitir a un atacante ejecutar consultas SQL maliciosas, comprometiendo la integridad de la base de datos y la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se encuentra en el plugin Form Maker, que permite crear formularios de contacto mediante un sistema de arrastrar y soltar. La exposición se produce al no validar adecuadamente las entradas de los usuarios, permitiendo la inyección de código SQL a través de parámetros manipulados.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite el acceso no autorizado a datos sensibles y la manipulación de la base de datos, lo que podría resultar en pérdida de datos o alteración de la funcionalidad del sitio. Esto puede afectar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

La explotación se lleva a cabo mediante el envío de solicitudes HTTP con parámetros manipulados que desencadenan la ejecución de consultas SQL maliciosas, sin necesidad de autenticación previa.

Mitigación recomendada

Actualizar el plugin Form Maker a la versión 1.15.39 o superior para cerrar la vulnerabilidad. Revisar los registros de acceso y errores para identificar posibles intentos de explotación. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web, para proteger el sitio contra ataques similares.

Señales de detección

Señales que indican un posible intento de explotación incluyen registros de solicitudes inusuales que contienen caracteres especiales en los parámetros, así como errores SQL en los logs del servidor.

Alcance afectado

Las versiones del plugin Form Maker afectadas son todas las anteriores a la 1.15.39. No se han reportado casos de explotación confirmados en versiones posteriores.