Forminator Forms – Contact Form, Payment Form & Custom Form Builder <= 1.55.0.2 - Unauthenticated Arbitrary File Download (vulnerabilidad) - version 1.55.1

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Forminator, que permite la descarga arbitraria de archivos sin necesidad de autenticación. Esta brecha de seguridad puede comprometer la integridad de los datos y exponer información sensible.

Contexto técnico

El fallo se encuentra en versiones del plugin Forminator hasta la 1.55.0.2, permitiendo que un atacante no autenticado acceda y descargue archivos del servidor. La superficie de ataque se amplía a cualquier usuario con acceso a la interfaz del formulario, lo que facilita la explotación.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la exposición de datos sensibles, afectando la confianza del cliente y la reputación de la organización. Además, podría dar lugar a ataques adicionales si se obtienen archivos críticos del sistema.

Vector de explotación

La vulnerabilidad se puede explotar mediante la manipulación de solicitudes HTTP que permiten la descarga de archivos sin autenticación previa, facilitando así el acceso no autorizado a información del servidor.

Mitigación recomendada

Actualizar el plugin Forminator a la versión 1.55.1 o superior para cerrar la vulnerabilidad. Revisar los registros de acceso para identificar posibles intentos de explotación. Implementar medidas de seguridad adicionales, como firewalls y restricciones de acceso a archivos sensibles.

Señales de detección

Señales a observar incluyen intentos de acceso a archivos sensibles en los logs de servidor y patrones inusuales en las solicitudes HTTP dirigidas a los formularios de Forminator.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.55.1. No se han confirmado casos en versiones posteriores a esta.