In de WordPress-plug-in Ninja Forms, met meer dan een miljoen actieve installaties, is een kritieke kwetsbaarheid ontdekt (CVE is nog niet toegewezen) die onbevoegde bezoekers in staat stelt volledige controle over de site te krijgen. Het probleem is verholpen in de versies 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 en 3.6.11. Er wordt opgemerkt dat de kwetsbaarheid al wordt misbruikt voor aanvallen en om het probleem snel te blokkeren, hebben de ontwikkelaars van het WordPress-platform een gedwongen automatische update op de gebruikerswebsites geïnitieerd.
De kwetsbaarheid wordt veroorzaakt door een fout in de implementatie van de functionaliteit van Merge Tags, waardoor niet-geauthenticeerde gebruikers bepaalde statische methoden uit verschillende klassen van Ninja Forms kunnen aanroepen (bij het controleren of een methode wordt genoemd in de gegevens die via Merge Tags worden doorgegeven, werd de functie is_callable() aangeroepen). Ook was het mogelijk om een methode aan te roepen die deserialisatie van door de gebruiker verzonden inhoud uitvoert. Door speciaal opgemaakte geserialiseerde gegevens door te geven, kon de aanvaller zijn objecten injecteren en PHP-code uitvoeren op de server of willekeurige bestanden in de datamap van de site te verwijderen.
Bron: opennet.ru
