Forminator Forms <= 1.51.1 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via 'forminator_action' Parameter (falta de autorizacion) - version 1.52

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Forminator, que permite la divulgación de información sensible a usuarios autenticados con rol de suscriptor o superior. Este fallo puede comprometer la privacidad de los datos y afectar la confianza en la plataforma.

Contexto técnico

El fallo se produce a través del parámetro 'forminator_action', que no implementa adecuadamente las restricciones de autorización. Esto permite que usuarios no autorizados accedan a información sensible que debería estar protegida.

Impacto potencial

La exposición de información sensible puede llevar a la pérdida de datos críticos y a la violación de la privacidad de los usuarios, lo que podría resultar en daños a la reputación de la empresa y posibles sanciones legales.

Vector de explotación

La vulnerabilidad puede ser explotada mediante la manipulación del parámetro 'forminator_action' en solicitudes HTTP, permitiendo a un atacante acceder a datos que no debería ver.

Mitigación recomendada

Actualizar el plugin Forminator a la versión 1.52 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y asegurarse de que las configuraciones de autorización están correctamente implementadas. Realizar auditorías de seguridad periódicas para identificar y mitigar otras posibles vulnerabilidades.

Señales de detección

Señales a observar incluyen accesos no autorizados a información sensible en los registros de actividad y solicitudes inusuales que manipulan el parámetro 'forminator_action'.

Alcance afectado

Las versiones afectadas son todas las versiones de Forminator hasta la 1.51.1. No se han confirmado casos en versiones superiores a 1.52.