백만 개 이상 설치된 Ninja Forms WordPress 플러그인을 통한 시스템 공격

3.0.34.2만 개가 넘는 활성 설치가 있는 Ninja Forms WordPress 애드온에는 외부 방문자가 사이트를 완전히 제어할 수 있는 치명적인 취약점(CVE가 아직 할당되지 않음)이 있습니다. 이 문제는 릴리스 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4, 3.6.11 및 XNUMX에서 수정되었습니다. 이 취약점은 이미 공격을 수행하고 문제를 긴급하게 차단하는 데 사용되고 있으며 WordPress 플랫폼 개발자는 사용자 사이트에 강제 자동 업데이트 설치를 시작했습니다.

이 취약점은 인증되지 않은 사용자가 다양한 Ninja Forms 클래스에서 일부 정적 메서드를 호출할 수 있도록 하는 Merge Tags 기능의 구현 오류로 인해 발생합니다(is_callable() 함수는 전달된 데이터에서 메서드 언급을 확인하기 위해 호출됨). 태그 병합). 무엇보다도 사용자가 전달한 콘텐츠의 역직렬화를 수행하는 메서드를 호출할 수 있었습니다. 특수 형식의 직렬화된 데이터 전송을 통해 공격자는 자신의 개체를 대체하고 서버에서 PHP 코드를 실행하거나 사이트 데이터 디렉터리에서 임의의 파일을 삭제할 수 있습니다.

출처 : opennet.ru