I WordPress-tilføjelsen Ninja Forms, som har over en million aktive installationer, er der opdaget en kritisk sårbarhed (CVE endnu ikke tildelt), der gør det muligt for en uautoriseret besøgende at få fuld kontrol over hjemmesiden. Problemet er løst i versionerne 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 og 3.6.11. Det bemærkes, at sårbarheden allerede bliver udnyttet til angreb, og for hurtigt at blokere problemet har udviklerne af WordPress-platformen indført en tvungen automatisk opdatering på brugernes sider.
Sårbarheden skyldes en fejl i implementeringen af Merge Tags-funktionaliteten, som gør det muligt for uautentificerede brugere at kalde visse statiske metoder fra forskellige klasser i Ninja Forms (for at kontrollere om metoderne blev nævnt i de data, der blev sendt via Merge Tags, blev funktionen is_callable() kaldt). Der var også adgang til at kalde en metode, der deserialiserer indhold, sendt af brugeren. Ved at sende specialdesignede serialiserede data kunne angriberen indsætte sine egne objekter og få PHP-kode til at blive udført på serveren eller slette vilkårlige filer i kataloget med hjemmesideoplysninger.
Kilde: opennet.ru
