Bir milyondan çox aktiv quraşdırmaya malik olan Ninja Forms WordPress əlavəsində kritik boşluq (CVE hələ təyin olunmayıb) müəyyən edilib ki, bu da icazəsiz ziyarətçinin sayta tam nəzarəti ələ keçirməsinə imkan verir. Problem 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 və 3.6.11 buraxılışlarında həll olunub. Qeyd olunur ki, boşluq artıq hücumların həyata keçirilməsi və problemin təcili bloklanması üçün istifadə olunur, WordPress platformasının tərtibatçıları istifadəçi saytlarında yeniləmənin məcburi avtomatik quraşdırılmasına başlayıblar.
Zəiflik, təsdiqlənməmiş istifadəçilərə müxtəlif Ninja Forms siniflərindən bəzi statik metodlara zəng etməyə imkan verən Merge Tags funksiyasının icrasındakı xəta ilə əlaqədardır (Merge vasitəsilə ötürülən məlumatda metodların qeyd edilib-edilmədiyini yoxlamaq üçün is_callable() funksiyası çağırılıb. Teqlər). Digər şeylər arasında, istifadəçi tərəfindən göndərilən məzmunu sıradan çıxaran bir üsul çağırmaq mümkün idi. Xüsusi hazırlanmış seriallaşdırılmış məlumatları ötürməklə, təcavüzkar öz obyektlərini əvəz edə və serverdə PHP kodunun icrasına nail ola və ya kataloqdakı ixtiyari faylları sayt məlumatları ilə silə bilər.
Mənbə: opennet.ru