Chaidh so-leòntachd èiginneach (CVE nach deach a shònrachadh fhathast) a chomharrachadh anns an tuilleadan WordPress Ninja Forms, aig a bheil còrr air millean ionad gnìomhach, a leigeas le neach-tadhail gun chead smachd iomlan fhaighinn air an làrach. Chaidh a’ chùis fhuasgladh ann am fiosan 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4, agus 3.6.11. Thathas a’ toirt fa-near gu bheil an so-leòntachd ga chleachdadh mu thràth gus ionnsaighean a dhèanamh agus gus an duilgheadas a bhacadh gu h-èiginneach, chuir luchd-leasachaidh àrd-ùrlar WordPress air bhog an ùrachadh gu fèin-ghluasadach air làraich luchd-cleachdaidh.
Tha an so-leòntachd air adhbhrachadh le mearachd ann an buileachadh gnìomh Merge Tags, a leigeas le luchd-cleachdaidh neo-dhearbhte cuid de dhòighean statach a ghairm bho dhiofar chlasaichean Foirmean Ninja (chaidh an gnìomh is_callable () a ghairm gus faighinn a-mach an deach iomradh a thoirt air dòighean anns an dàta a chaidh seachad tro Merge Tags). Am measg rudan eile, bha e comasach modh a ghairm a bhios a’ dì-dhealbhadh susbaint a chuir an neach-cleachdaidh a-steach. Le bhith a’ sgaoileadh dàta sreathach a chaidh a dhealbhadh gu sònraichte, dh’ fhaodadh an neach-ionnsaigh na nithean aige fhèin a chuir an àite agus còd PHP a chuir an gnìomh air an fhrithealaiche no cuir às do fhaidhlichean neo-riaghailteach san eòlaire le dàta làraich.
Source: fosgailtenet.ru