התקפה על מערכות באמצעות תוסף וורדפרס Ninja Forms עם למעלה ממיליון התקנות

נקודת תורפה קריטית (עדיין לא הוקצתה CVE) זוהתה בתוסף Ninja Forms WordPress, שיש לו יותר ממיליון התקנות פעילות, המאפשרות למבקר לא מורשה לקבל שליטה מלאה באתר. הבעיה נפתרה במהדורות 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 ו-3.6.11. יצוין כי הפגיעות כבר בשימוש לביצוע התקפות ולחסימה דחופה של הבעיה, מפתחי פלטפורמת וורדפרס יזמו התקנה אוטומטית כפויה של העדכון באתרי המשתמשים.

הפגיעות נגרמת על ידי שגיאה ביישום הפונקציונליות של Merge Tags, המאפשרת למשתמשים לא מאומתים לקרוא לכמה שיטות סטטיות ממחלקות Ninja Forms שונות (הפונקציה is_callable() נקראה כדי לבדוק אם שיטות הוזכרו בנתונים המועברים דרך Merge תגים). בין היתר, ניתן היה לקרוא לשיטה המבטלת תוכן שנשלח על ידי המשתמש. על ידי שידור נתונים מסודרים שתוכננו במיוחד, התוקף יכול להחליף את האובייקטים שלו ולהשיג ביצוע של קוד PHP בשרת או למחוק קבצים שרירותיים בספרייה עם נתוני אתר.

מקור: OpenNet.ru