Vulnerabilitatea plugin-ului Forminator expune site-urile WordPress la atacuri

Plugin-ul Forminator pentru WordPress este vulnerabil la o eroare de ștergere arbitrară neautentificată a fișierelor ce ar putea permite atacuri de preluare completă a site-ului.

Vulnerabilitatea, urmărită ca CVE-2025-6463, prezintă un grad de severitate high și un scor CvSS de 8.8/10. Aceasta afectează toate versiunile de Forminator până la 1.44.2.

Forminator Forms este un plugin ce oferă un compilator flexibil, vizual drag-and-drop pentru a ajuta utilizatorii să creeze și să integreze o gamă largă de conținut bazat pe formulare pe site-urile WordPress.

Conform statisticilor de la WordPress.org, pluginul este în prezent activ pe mai mult de 600.000 de site-uri web.

Vulnerabilitatea provine din validarea și sanitizarea insuficientă a datelor de intrare din câmpul formularului și din logica nesecurizată de ștergere a fișierelor în codul backend al pluginului.

Atunci când un utilizator trimite un formular, funcția save_entry_fields() salvează toate valorile câmpurilor, inclusiv căile de acces ale fișierelor, fără a verifica dacă acele câmpuri trebuie să gestioneze fișiere.

Un atacator ar putea exploata acest aspect pentru a introduce o serie de fișiere malițioase în orice câmp, inclusiv în câmpurile text, imitând un fișier încărcat cu o rută personalizată care indică un fișier critic, cum ar fi /var/www/html/wp-config.php.

Furnizorul a lansat versiunea Forminator 1.44.3, care adaugă o verificare a tipului de câmp și o validare a rutei fișierului care asigură că ștergerile sunt limitate la directorul WordPress uploads.

Se recomandă cu tărie actualizarea plugin-ului la cea mai recentă versiune sau dezactivarea acetuia până la migrarea către o versiune actualizată.

Sursă: https://www.bleepingcomputer.com/news/security/forminator-plugin-flaw-exposes-wordpress-sites-to-takeover-attacks/