V doplnku Ninja Forms pre WordPress, ktorý má viac ako milión aktívnych inštalácií, bola zistená kritická zraniteľnosť (CVE ešte nebolo pridelené), ktorá umožňuje neoprávnenej osobe získať úplnú kontrolu nad stránkou. Problém bol odstránený vo verziách 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 a 3.6.11. Uvádza sa, že zraniteľnosť sa už používa na vykonávanie útokov, a aby sa situácia doriešila, vývojári platformy WordPress iniciovali nútenú automatickú inštaláciu aktualizácie na stránkach používateľov.
Zraniteľnosť bola spôsobená chybou v implementácii funkcie Merge Tags, ktorá umožňuje neautentifikovaným používateľom vyvolávať niektoré statické metódy z rôznych tried Ninja Forms (na kontrolu spomenutia metód v údajoch odoslaných cez Merge Tags sa vyvolávala funkcia is_callable()). Medzičasom bol dostupný aj prístup k metóde, ktorá vykonáva deserializáciu obsahu zaslaného používateľom. Prostredníctvom zaslania špeciálne formátovaných serializovaných údajov mohol útočník vykonať substitúciu svojich objektov a dosiahnuť vykonanie PHP kódu na serveri alebo odstrániť náhodné súbory v dátovom adresári stránky.
Zdroj: opennet.ru
