Атака на системи чрез WordPress плъгин Ninja Forms, който има над милион инсталации.

В WordPress плъгина Ninja Forms, който има над милион активни инсталации, е открита критична уязвимост (CVE все още не е присвоен), позволяваща на неупълномощен посетител да получи пълен контрол над сайта. Проблемът е отстранен в версии 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 и 3.6.11. Отбелязва се, че уязвимостта вече се използва за извършване на атаки и за спешното блокиране на проблема, разработчиците на платформата WordPress иницираха принудително автоматично инсталиране на актуализация на сайтовете на потребителите.

Уязвимостта е причинена от грешка в реализирането на функционалността Merge Tags, позволяваща на неавтентицирани потребители да извикват някои статични методи от различни класове на Ninja Forms (за проверка на извикването на методи в данните, предавани чрез Merge Tags, се извикваше функцията is_callable()). Включително беше налично извикването на метод, изпълняващ десериализация на съдържанието, предадено от потребителя. Чрез предаване на специално форматирани сериализирани данни, атакуващият можеше да извърши заместване на своите обекти и да предизвика изпълнение на PHP код на сървър или да изтрие произволни файлове в директорията с данни на сайта.

Източник: opennet.ru