V doplňku Ninja Forms pro WordPress, který má více než milion aktivních instalací, byla odhalena kritická zranitelnost (CVE zatím nebyl přidělen), umožňující neoprávněnému návštěvníkovi získat plnou kontrolu nad webem. Problém byl vyřešen ve verzích 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 a 3.6.11. Upozorňuje se, že zranitelnost už byla využívána k útokům, a aby problém okamžitě zablokovali, vývojáři platformy WordPress iniciovali povinnou automatickou instalaci aktualizace na weby uživatelů.
Zranitelnost byla způsobena chybou v implementaci funkčnosti Merge Tags, která umožňuje neautentizovaným uživatelům volat některé statické metody z různých tříd Ninja Forms (pro kontrolu zmíněných metod ve předávaných datech pomocí Merge Tags byla vyvolána funkce is_callable()). Bylo také možné zavolat metodu, která provádí deserializaci obsahu předaného uživatel. Pomocí předání speciálně vytvořených serializovaných dat mohl útočník provést substituci svých objektů a dosáhnout provedení PHP kódu na serveru nebo smazat libovolné soubory v datovém adresáři webu.
Zdroj: opennet.ru
