Атака на системите чрез плагина за WordPress Ninja Forms, който има над милион инсталации

В плъгина за WordPress Ninja Forms, който има над милион активни инсталации, е открита критична уязвимост (CVE все още не е присвоен), която позволява на неоторизирани потребители да получат пълен контрол над сайта. Проблемът е разрешен в версии 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 и 3.6.11. Установено е, че уязвимостта вече се използва за извършване на атаки и за бързо блокиране на проблема разработчиците на платформата WordPress иницираха принудително автоматично инсталиране на актуализацията на сайтовете на потребителите.

Уязвимостта е причинена от грешка в реализирането на функционалността Merge Tags, която позволява на неаутентифицираните потребители да извикват някои статични методи от различни класове на Ninja Forms (за проверка на наличието на методи в предаваните данни чрез Merge Tags се извиква функцята is_callable()). Включително, имаше достъп до извикване на метод, който извършва десериализация на съдържанието, предоставено от потребителя. Чрез предаване на специално оформени сериализирани данни, атакуващият можеше да подмени свои обекти и да постигне изпълнение на PHP код на сървър или да изтрие произволни файлове в директорията с данни на сайта.

Източник: opennet.ru