Fluent Forms Pro Add On Pack <= 6.2.6 - Authenticated (Subscriber+) PHP Object Injection to Arbitrary User Password Change via User Meta Field en Fluentformpro (vulnerabilidad) - version 6.2.7

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en Fluent Forms Pro (versiones <= 6.2.6) que permite a usuarios autenticados cambiar contraseñas de otros usuarios a través de inyección de objetos PHP. Esta falla puede comprometer la seguridad de las cuentas de usuario y la integridad del sistema.

Contexto técnico

La vulnerabilidad se encuentra en el plugin Fluent Forms Pro, específicamente en la funcionalidad que gestiona los campos meta de usuario. Un atacante con privilegios de suscriptor o superiores puede manipular estos campos para inyectar código PHP, lo que permite el cambio de contraseñas arbitrarias.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante obtener acceso no autorizado a cuentas de usuario, comprometiendo la seguridad de la información y la confianza de los usuarios. Esto puede resultar en pérdida de datos sensibles y daños a la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad suele llevarse a cabo mediante la modificación de los campos meta del usuario, lo que puede ser realizado a través de formularios o interfaces de usuario del plugin.

Mitigación recomendada

Actualizar el plugin Fluent Forms Pro a la versión 6.2.7 o superior para corregir la vulnerabilidad. Revisar y restringir los permisos de usuario para evitar accesos no autorizados. Implementar medidas de monitoreo para detectar actividades inusuales en las cuentas de usuario.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en las contraseñas de usuario y registros de actividad inusual en los logs del sistema.

Alcance afectado

Las versiones afectadas incluyen Fluent Forms Pro hasta la 6.2.6. No se han reportado casos de explotación en versiones posteriores a la 6.2.7.