Everest Forms – Contact Form, Payment Form, Quiz, Survey & Custom Form Builder <= 3.4.7 - Missing Authorization to Authenticated (Subscriber+) Email Sending (falta de autorizacion) - version 3.4.8

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Everest Forms que permite el envío de correos electrónicos sin la debida autorización para usuarios autenticados con rol de suscriptor o superior. Esta brecha puede ser explotada, comprometiendo la integridad de la comunicación y la seguridad del sitio.

Contexto técnico

El fallo se encuentra en la versión 3.4.7 del plugin Everest Forms, donde no se implementan adecuadamente las restricciones de autorización para el envío de correos electrónicos. Esto permite a los usuarios autenticados, incluso aquellos con permisos limitados, enviar emails sin las validaciones necesarias.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante enviar correos electrónicos que podrían ser utilizados para phishing o spam, afectando la reputación del sitio y la confianza de los usuarios. Además, puede dar lugar a la divulgación de información sensible si se utilizan formularios para recopilar datos.

Vector de explotación

La explotación se lleva a cabo mediante la manipulación de las funciones del plugin para enviar correos electrónicos sin autorización, lo que puede ser realizado a través de solicitudes maliciosas desde el frontend del sitio.

Mitigación recomendada

Actualizar el plugin Everest Forms a la versión 3.4.8 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario para asegurarse de que solo los roles apropiados tengan acceso a la funcionalidad de envío de correos. Implementar medidas de seguridad adicionales, como la validación de entradas y el uso de CAPTCHA en formularios.

Señales de detección

Señales de riesgo incluyen registros de envío de correos electrónicos inusuales o no autorizados en los logs del servidor, así como cambios inesperados en la configuración del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.4.8 del plugin Everest Forms. No se han confirmado otros escenarios fuera de esta versión específica.