Easy Form Builder by WhiteStudio <= 4.0.11 - Unauthenticated Privilege Escalation to Administrator via Password Recovery REST Endpoint (escalada de privilegios) - version 4.0.12

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Easy Form Builder que permite a un atacante no autenticado escalar privilegios a administrador a través de un endpoint de recuperación de contraseña. Este fallo, clasificado como CVE-2026-13439, puede comprometer seriamente la seguridad del sitio web si no se mitiga adecuadamente.

Contexto técnico

El fallo se origina en el endpoint REST de recuperación de contraseña del plugin Easy Form Builder, que no valida correctamente las solicitudes. Esto permite que un atacante sin autenticación pueda acceder a funciones reservadas para administradores, facilitando una escalación de privilegios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, permitiendo a atacantes no autenticados tomar control total del sitio web. Esto podría resultar en la modificación de contenido, robo de datos sensibles o incluso la instalación de malware, afectando la reputación y la operativa del negocio.

Vector de explotación

La explotación se realiza enviando solicitudes maliciosas al endpoint de recuperación de contraseña, lo que permite obtener privilegios de administrador sin necesidad de autenticación previa.

Mitigación recomendada

Actualizar el plugin Easy Form Builder a la versión 4.0.12 o superior para corregir la vulnerabilidad. Revisar y reforzar la configuración de seguridad del sitio, limitando el acceso a endpoints sensibles. Implementar medidas de monitoreo para detectar accesos no autorizados o actividades inusuales.

Señales de detección

Monitorizar los logs de acceso en busca de solicitudes inusuales al endpoint de recuperación de contraseña, así como cambios inesperados en los roles de usuario.

Alcance afectado

Las versiones del plugin Easy Form Builder hasta la 4.0.11 son vulnerables. La versión 4.0.12 y posteriores contienen la corrección. No se han reportado casos de explotación confirmados hasta la fecha.