WordPress: Vulnerabilidad crítica en el plugin Forminator
Recientemente, se ha identificado una vulnerabilidad crítica en el plugin Forminator, utilizado en más de 300,000 sitios de WordPress.
¿Qué es Forminator y por qué es tan popular?
Forminator es un plugin para WordPress desarrollado por WPMU DEV que permite a los usuarios crear fácilmente formularios personalizados, encuestas, cuestionarios y más, sin necesidad de conocimientos de programación. Su popularidad radica en su interfaz intuitiva de arrastrar y soltar, amplias integraciones de terceros y versatilidad para adaptarse a diversas necesidades de formularios en los sitios de WordPress.
¿Cuál es la vulnerabilidad en el plugin Forminator?
El Centro de Respuesta a Incidentes de Seguridad de Japón (JPCERT) ha identificado una vulnerabilidad crítica en el plugin Forminator, afectando a versiones anteriores a la 1.29.3. Esta vulnerabilidad, identificada como CVE-2024-28890, permite a un atacante remoto cargar archivos maliciosos en el servidor del sitio afectado. Al explotar esta vulnerabilidad, un atacante podría acceder a información sensible, modificar el contenido del sitio o incluso causar una denegación de servicio.
Detalles de las vulnerabilidades identificadas:
CVE-2024-28890 - Insuficiente validación de archivos durante la carga: Esta vulnerabilidad permite a un atacante remoto cargar archivos maliciosos en el servidor del sitio afectado. La insuficiente validación de archivos durante el proceso de carga facilita a los atacantes ejecutar código malicioso en el servidor, lo que podría comprometer la seguridad del sitio y la integridad de los datos almacenados.
CVE-2024-31077 - Inyección SQL: Esta vulnerabilidad permite a un atacante con privilegios de administrador ejecutar consultas SQL arbitrarias en la base de datos del sitio. Al explotar esta vulnerabilidad, los atacantes podrían acceder, modificar o eliminar datos sensibles almacenados en la base de datos del sitio, lo que representa una grave amenaza para la seguridad y la privacidad.
CVE-2024-31857 - Scripting entre sitios (XSS): Esta vulnerabilidad permite a un atacante ejecutar código HTML y de script arbitrario en el navegador de un usuario si este sigue un enlace especialmente diseñado. Al explotar esta vulnerabilidad, los atacantes podrían realizar acciones maliciosas, como robar cookies de sesión, redirigir a los usuarios a sitios web fraudulentos o realizar acciones en nombre del usuario sin su consentimiento.
¿Qué medidas deben tomar los administradores de sitios de WordPress?
Para mitigar el riesgo de estas vulnerabilidades, se recomienda encarecidamente a los administradores de sitios de WordPress que utilicen el plugin Forminator que tomen las siguientes medidas:
Actualizar a la versión más reciente: La última versión del plugin, la 1.29.3, soluciona las vulnerabilidades CVE-2024-28890, CVE-2024-31077 y CVE-2024-31857, por lo que se insta a los usuarios a actualizar lo antes posible.
Monitorizar la actividad del sitio: Estar atento a cualquier actividad sospechosa en el sitio, como cambios no autorizados en archivos o comportamientos inusuales, puede ayudar a detectar posibles intentos de explotación de vulnerabilidades.
Eliminar versiones antiguas del plugin: Si está utilizando una versión anterior de Forminator que no puede actualizarse, considere eliminar el plugin hasta que se pueda aplicar una solución.
Mantenerse informado: Estar al tanto de las actualizaciones de seguridad y parches para todos los plugins y temas utilizados en su sitio de WordPress es fundamental para proteger el sitio contra posibles amenazas.
¿Cuál es el impacto potencial de no abordar estas vulnerabilidades?
Si los administradores de sitios de WordPress no abordan estas vulnerabilidades de seguridad, corren el riesgo de que sus sitios sean comprometidos por atacantes maliciosos. Con la capacidad de ejecutar código malicioso, acceder a datos sensibles o realizar acciones no autorizadas, los atacantes podrían causar daños graves al sitio y comprometer la seguridad y la privacidad de los usuarios.