Uma vulnerabilidade crítica foi identificada no complemento Ninja Forms do WordPress, que possui mais de um milhão de instalações ativas (CVE ainda não atribuído), permitindo que um visitante não autorizado obtenha controle total sobre o site. O problema foi solucionado nas versões 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 e 3.6.11. Observa-se que a vulnerabilidade já está sendo explorada para realizar ataques e, para bloquear a questão urgentemente, os desenvolvedores da plataforma WordPress iniciaram uma instalação automática forçada do atualização nos sites dos usuários.
A vulnerabilidade é causada por um erro na implementação da funcionalidade Merge Tags, permitindo que usuários não autenticados chamem alguns métodos estáticos de diversas classes do Ninja Forms (para verificar a menção de métodos nos dados transmitidos através de Merge Tags, a função is_callable() foi invocada). Isso incluía o acesso ao método que executava a desserialização do conteúdo enviado pelo usuário. Por meio da transmissão de dados serializados especialmente formatados, o atacante poderia realizar a substituição de seus objetos e fazer com que o código PHP fosse executado em servidor ou excluir arquivos arbitrários no diretório de dados do site.
Fonte: opennet.ru
