Vulnerabbiltà kritika (CVE għadu ma ġiex assenjat) ġiet identifikata fis-add-on Ninja Forms WordPress, li għandu aktar minn miljun installazzjoni attiva, li tippermetti viżitatur mhux awtorizzat jikseb kontroll sħiħ tas-sit. Il-kwistjoni ġiet solvuta fir-rilaxxi 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4, u 3.6.11. Huwa nnutat li l-vulnerabbiltà diġà qed tintuża biex twettaq attakki u biex timblokka b'mod urġenti l-problema, l-iżviluppaturi tal-pjattaforma WordPress bdew installazzjoni awtomatika sfurzata tal-aġġornament fuq is-siti tal-utenti.
Il-vulnerabbiltà hija kkawżata minn żball fl-implimentazzjoni tal-funzjonalità Merge Tags, li tippermetti lill-utenti mhux awtentikati jsejħu xi metodi statiċi minn diversi klassijiet Ninja Forms (il-funzjoni is_callable() issejħet biex tivverifika jekk il-metodi kinux imsemmija fid-dejta mgħoddija minn Merge. Tikketti). Fost affarijiet oħra, kien possibbli li ssejjaħ metodu li deserializes kontenut mibgħut mill-utent. Billi jittrasmetti dejta serjali ddisinjata apposta, l-attakkant jista 'jissostitwixxi l-oġġetti tiegħu stess u jikseb l-eżekuzzjoni tal-kodiċi PHP fuq is-server jew iħassar fajls arbitrarji fid-direttorju bid-dejta tas-sit.
Sors: opennet.ru