Bir milyondan fazla aktif kurulumu bulunan Ninja Forms WordPress eklentisinde, yetkisiz bir ziyaretçinin sitenin tam kontrolünü ele geçirmesine olanak tanıyan kritik bir güvenlik açığı (CVE henüz atanmadı) tespit edildi. Sorun 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 ve 3.6.11 sürümlerinde çözüldü. Güvenlik açığının halihazırda saldırılar gerçekleştirmek ve sorunu acilen engellemek için kullanıldığı, WordPress platformunun geliştiricilerinin güncellemenin kullanıcı sitelerine zorla otomatik kurulumunu başlattığı kaydedildi.
Güvenlik açığı, kimliği doğrulanmamış kullanıcıların çeşitli Ninja Forms sınıflarından bazı statik yöntemleri çağırmasına izin veren Birleştirme Etiketleri işlevinin uygulanmasındaki bir hatadan kaynaklanmaktadır (Birleştirme yoluyla iletilen verilerde yöntemlerden bahsedilip bahsedilmediğini kontrol etmek için is_callable() işlevi çağrılmıştır). Etiketler). Diğer şeylerin yanı sıra, kullanıcı tarafından gönderilen içeriği seri durumdan çıkaran bir yöntem çağırmak mümkündü. Saldırgan, özel olarak tasarlanmış serileştirilmiş verileri ileterek, kendi nesnelerini değiştirebilir ve sunucuda PHP kodunun yürütülmesini sağlayabilir veya dizindeki site verilerini içeren rastgele dosyaları silebilir.
Kaynak: opennet.ru