I WordPress-tillÀgget Ninja Forms, som har över en miljon aktiva installationer, har en kritisk sÄrbarhet upptÀckts (CVE har Ànnu inte tilldelats), vilket gör det möjligt för obehöriga besökare att fÄ fullstÀndig kontroll över webbplatsen. Problemet har ÄtgÀrdats i versionerna 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 och 3.6.11. Det noteras att sÄrbarheten redan utnyttjas för attacker, och för att akut lÄsa problemet har utvecklarna av WordPress-plattformen initierat en tvingande automatisk installation av uppdateringen pÄ anvÀndarnas webbplatser.
SÄrbarheten orsakas av ett fel i genomförandet av Merge Tags-funktionaliteten, vilket gör det möjligt för icke-autentiserade anvÀndare att anropa vissa statiska metoder frÄn olika klasser i Ninja Forms (för att kontrollera referenserna till metoderna i de data som överförs via Merge Tags kallades funktionen is_callable()). Bland annat var det möjligt att anropa en metod som utför deserialisering av innehÄll som skickas av anvÀndaren. Genom att överföra sÀrskilt formaterade serialiserade data kunde angriparen infoga sina egna objekt och fÄ PHP-kod att köras pÄ servern eller ta bort godtyckliga filer frÄn webbplatsens datakatalog.
KĂ€lla: opennet.ru
