Uban sa kapin sa usa ka milyon nga aktibo nga pag-install, ang Ninja Forms WordPress add-on adunay usa ka kritikal nga kahuyangan (wala pa ma-assign ang CVE) nga makatugot sa usa ka bisita sa gawas nga makontrol ang site. Naayo na ang isyu sa mga gipagawas nga 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 ug 3.6.11. Namatikdan nga ang pagkahuyang gigamit na sa paghimo sa mga pag-atake ug sa dinalian nga pagbabag sa problema, ang mga nag-develop sa platform sa WordPress nagsugod sa usa ka pinugos nga awtomatikong pag-install sa mga update sa mga site sa gumagamit.
Ang pagkahuyang tungod sa usa ka sayup sa pagpatuman sa pag-andar sa Merge Tags, nga nagtugot sa mga dili masaligan nga tiggamit sa pagtawag sa pipila nga mga static nga pamaagi gikan sa lainlaing mga klase sa Ninja Forms (gitawag ang is_callable () function aron susihon ang paghisgot sa mga pamaagi sa datos nga gipasa. Paghiusa sa mga Tag). Lakip sa ubang mga butang, posible nga tawagan ang usa ka pamaagi nga naghimo sa deserialization sa sulud nga gipasa sa tiggamit. Pinaagi sa pagbalhin sa espesyal nga gi-format nga serialized data, ang tig-atake makahimo sa pag-ilis sa iyang mga butang ug makab-ot ang pagpatuman sa PHP code sa server o pagtangtang sa arbitraryong mga file sa direktoryo sa datos sa site.
Source: opennet.ru