Se ha descubierto una grave vulnerabilidad de seguridad en el ampliamente utilizado WordPress Plugin Forminator, que cuenta con más de 600,000 usuarios activos WordPress sitios en riesgo. La falla, Revelado por investigadores de seguridad en Wordfence el 2 de julio de 2025, permite a atacantes autenticados eliminar archivos arbitrarios en el servidor.
¿Qué es la vulnerabilidad del complemento Forminator?
La vulnerabilidad afecta a las versiones de Forminator anteriores a la 1.29.3. Forminator es un plugin popular que se utiliza para crear formularios de contacto, encuestas, cuestionarios y sondeos en WordPress Sitios. Debido a la falta de una validación de entrada adecuada en la función de carga de archivos, los atacantes con acceso de suscriptor o superior pueden manipular las solicitudes e indicar al complemento que elimine cualquier archivo del servidor al que el usuario del servidor web tenga acceso.
Esto significa que es crítico WordPress Se podrían eliminar archivos principales, temas o complementos, lo que provocaría un sitio roto o la eliminación total del mismo.
¿Cómo funciona el ataque?
Un atacante primero debe obtener acceso a cualquier cuenta de usuario válida en una red vulnerable. WordPress sitio. Una vez autenticados, pueden crear solicitudes maliciosas aprovechando el mecanismo inseguro de eliminación de archivos en el punto final de carga de Forminator. Dado que muchos WordPress Los sitios permiten el registro de usuarios (piense en membresías, LMS o sitios comunitarios), incluso una cuenta de suscriptor es suficiente para lanzar un ataque.
¿A quiénes afecta?
Año WordPress El sitio que ejecuta versiones de Forminator anteriores a 1.29.3 es vulnerable.
De acuerdo con WordPress.org, Forminator tiene más de 600,000 instalaciones activas, lo que significa que una cantidad significativa de sitios web permanecen expuestos si no se han actualizado.
Los sitios web que permiten el registro de usuarios corren un riesgo particular porque los atacantes pueden simplemente crear una cuenta y explotar la vulnerabilidad sin necesidad de privilegios de administrador.
Wordfence otorga un programa de recompensas por errores que bate récords
En reconocimiento de la gravedad de esta falla, Wordfence otorgó su mayor recompensa hasta la fecha: 8,100 dólares. Esta recompensa se pagó al investigador que divulgó responsablemente la vulnerabilidad a través del Programa de Recompensas por Errores de Wordfence. Según Wordfence, esta es la mayor recompensa otorgada en la historia del programa.
El pago sin precedentes subraya la naturaleza crítica de la vulnerabilidad y destaca la importancia de los programas de divulgación responsable para mantener la WordPress ecosistema seguro.
¿Qué deben hacer los propietarios de sitios?
Wordfence recomienda que todos WordPress Los propietarios de sitios que usan Forminator deben actualizar inmediatamente a la versión parcheada 1.29.3 o posterior. La actualización incluye una corrección para la vulnerabilidad e impide que los atacantes la exploten.
Además de la actualización, los propietarios del sitio deben:
- Opiniones cuentas de usuario: Audite todos los registros de usuarios para detectar cuentas sospechosas o inesperadas.
- Endurecer WordPress seguridad: Deshabilite el registro de usuarios innecesarios o limítelo con herramientas como CAPTCHA o verificación de correo electrónico.
- Utilice un complemento de seguridad: Implemente un firewall como Wordfence o soluciones similares para bloquear el tráfico malicioso de forma proactiva.
¿Se ha explotado la vulnerabilidad?
En el momento del informe de Wordfence, no existían pruebas públicas de una explotación generalizada. Sin embargo, dada la simplicidad del ataque y la facilidad para obtener acceso a nivel de suscriptor, las explotaciones activas podrían comenzar en cualquier momento.
Conclusión
Esta vulnerabilidad en Forminator sirve como un duro recordatorio de la importancia del mantenimiento y la seguridad proactivos del sitio web. WordPress Los plugins pueden añadir una funcionalidad increíble a tu sitio web, pero también pueden suponer graves riesgos si no se mantienen actualizados. Un solo plugin desactualizado puede dar a los atacantes una vía de acceso para comprometer todo tu sitio web, dañar tu reputación o incluso borrar tus datos.
At HostScore.netLe recomendamos encarecidamente que no solo actualice sus complementos con regularidad, sino que también invierta tiempo en comprender qué funciones y protecciones ofrece su proveedor de alojamiento para mantener su sitio web seguro. el Curso Advanced DDoS Protección a escaneo de malwareLos planes de alojamiento modernos a menudo vienen con características de seguridad que pueden marcar una diferencia crítica cuando surgen vulnerabilidades como esta.
¿Quieres saber cómo proteger mejor tu sitio? Consulta nuestra guía detallada. Cómo proteger sus sitios: características de seguridad esenciales de alojamiento web que necesita conocerCubre las herramientas y prácticas de seguridad clave que todo propietario de un sitio web debe tener implementadas para mantenerse a la vanguardia de las amenazas potenciales.
