A WordPress-bővítményben, a Ninja Forms-ban, amelynek több mint egymillió aktív telepítése van, kritikus biztonsági rést fedeztek fel (CVE még nem lett hozzárendelve), amely lehetővé teszi, hogy egy külső látogató teljes irányítást nyerjen a webhely felett. A probléma a 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 és 3.6.11 verziókban került javításra. Megjegyzendő, hogy a sebezhetőséget már kihasználják támadásokhoz, és a probléma sürgős blokkolása érdekében a WordPress platform fejlesztői kényszerített automatikus frissítést indítottak a felhasználók webhelyein.
A sebezhetőséget a Merge Tags funkció hibás megvalósítása okozza, amely lehetővé teszi a nem hitelesített felhasználók számára, hogy bizonyos statikus módszereket hívjanak meg a Ninja Forms különböző osztályaiból (a Merge Tags-on keresztül átadott adatokban a hívások ellenőrzésére az is_callable() függvény vált be). Többek között elérhető volt egy mód hívása, amely végrehajtja a felhasználó által átadott tartalom deszerializálását. Speciálisan kialakított, sorozatba állított adatok átkonfigurálásával a támadó bele tudta illeszteni saját objektumait, és PHP-kód végrehajtására tehetett szert a szerveren vagy tetszőleges fájlok törlésére a weboldal adatainak könyvtárából.
Forrás: opennet.ru
