Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Forminator Forms – Contact Form, Payment Form & Custom Form Builder para WordPress (CVE-2025-6464)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-502 Deserialización de datos no confiables
Fecha de publicación:
02/07/2025
Última modificación:
07/07/2025

Descripción

El complemento Forminator Forms – Contact Form, Payment Form & Custom Form Builder para WordPress es vulnerable a la inyección de objetos PHP en todas las versiones hasta la 1.44.2 incluida, mediante la deserialización de entradas no confiables en la función 'entry_delete_upload_files'. Esto permite a atacantes no autenticados inyectar un objeto PHP a través de un archivo PHAR. No se conoce ninguna cadena POP presente en el software vulnerable, lo que significa que esta vulnerabilidad no tiene impacto a menos que se instale en el sitio otro complemento o tema que contenga una cadena POP. Si una cadena POP está presente a través de un complemento o tema adicional instalado en el sistema objetivo, puede permitir al atacante realizar acciones como eliminar archivos arbitrarios, recuperar datos confidenciales o ejecutar código, dependiendo de la cadena POP presente. La deserialización se produce cuando se elimina el envío del formulario, ya sea por un administrador o mediante la eliminación automática determinada por la configuración del complemento.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:incsub:forminator:*:*:*:*:free:wordpress:*:* 1.44.3 (excluyendo)