CVE-2024-22722

Form Tools almacena sus plantillas de una manera que trata el campo Group Name como código ejecutable en lugar de como texto, de modo que una cadena escrita en la pantalla de agregar formularios es evaluada por el motor de plantillas en vez de mostrarse. El resultado práctico es la ejecución de comandos en el host, pero el matiz está en quién puede llegar a ese campo: se encuentra detrás de un área autenticada y de alto privilegio de la aplicación, por lo que un atacante ya necesita una posición administrativa para activarla.

Esa precondición cambia el grado de preocupación que corresponde. No es algo que una botnet de escaneo masivo active con un solo clic por todo internet; es un caso de admin-a-RCE, del tipo que importa sobre todo como escalada posterior a un compromiso o cuando un operador legítimo se vuelve malicioso. Donde sí muerde es en cualquier despliegue de Form Tools en el que el rol de 'admin' se conceda de forma laxa o compartida, porque el salto de esa cuenta a shell en la máquina se vuelve trivial.

A esta la tratamos según su verdadero umbral y no según su 7.2. Nuestra primera pregunta es qué instancias de Form Tools expuestas a internet operamos siquiera y, de esas, con qué rigor está acotado y monitoreado el rol administrativo. Si el acceso de administrador ya está bien controlado, esta queda por debajo de su puntaje; si tenemos paneles de administración de Form Tools accesibles desde redes no confiables con mala higiene de cuentas, sube en la cola porque la SSTI elimina el último muro entre una sesión de administrador y el sistema operativo.