Fuente base de datos: Wordfence Intelligence

Forminator Forms <= 1.53.0 - Missing Authorization to Authenticated (Subscriber+) Scheduled Form Submission Export via forminator_export_entries Action on wp_loaded Hook (falta de autorizacion) - version 1.53.0.1

PLUGIN MEDIUM CVE-2026-6214

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Forminator hasta la versión 1.53.0 que permite la exportación de entradas de formularios sin la debida autorización. Este fallo puede comprometer datos sensibles de usuarios autenticados, afectando la seguridad operativa del sitio.

Contexto técnico

El fallo se produce debido a la falta de autorización en la acción forminator_export_entries, la cual se ejecuta en el hook wp_loaded. Esto permite que usuarios con el rol de suscriptor o superior puedan exportar entradas programadas sin restricciones adecuadas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a usuarios no autorizados acceder a datos que deberían estar protegidos. Esto puede resultar en la exposición de información sensible y en un daño reputacional para la organización.

Vector de explotación

La explotación se realiza mediante la invocación de la acción forminator_export_entries sin las validaciones necesarias, lo que permite que se realicen exportaciones no autorizadas.

Mitigación recomendada

Actualizar el plugin Forminator a la versión 1.53.0.1 o posterior para corregir la vulnerabilidad. Revisar los permisos de usuario para asegurar que solo los roles adecuados tengan acceso a la exportación de entradas. Implementar medidas de seguridad adicionales, como la validación de permisos en todas las acciones críticas.

Señales de detección

Revisar los logs de acceso en busca de solicitudes inusuales al hook wp_loaded que intenten ejecutar la acción forminator_export_entries sin autorización.

Alcance afectado

Las versiones del plugin Forminator hasta la 1.53.0 son vulnerables. Se recomienda a los usuarios que no han actualizado a la versión 1.53.0.1 verificar su instalación.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

forminator