Plugin de formulaires WordPress populaire Ninja Form a récemment mis à jour son plugin pour corriger une vulnérabilité grave. La vulnérabilité est classée comme très grave car elle pourrait permettre à un attaquant de voler l’accès au niveau administrateur et de prendre le contrôle de l’ensemble du site.
Vulnérabilité d’usurpation de requête intersite
L’exploit à l’origine de ce problème est appelé falsification de requête intersite. Ce type de vulnérabilité exploite l’absence d’un contrôle de sécurité normal qui permet à un attaquant de télécharger ou de remplacer des fichiers, et même d’obtenir un accès administratif.
Découvrez comment le site Web Common Weakness Enumeration décrit ce type de vulnérabilité:
«L’application Web ne vérifie pas ou ne peut pas suffisamment vérifier que l’utilisateur qui a soumis la demande a intentionnellement fourni une demande valide, cohérente et bien formée.
… Il est possible pour un attaquant de tromper un client afin qu’il fasse une demande involontaire au serveur Web, qui sera traitée comme une véritable demande. … Et peut conduire à une exposition des données ou à une exécution involontaire de code. »
Ninja forme une vulnérabilité de gravité élevée
WordFence WordPress Security a découvert l’exploit et a immédiatement informé les éditeurs du plugin WordPress Ninja Forms. Ninja Forms a immédiatement corrigé la vulnérabilité de sécurité dans les 24 heures.
Selon WordFence, la vulnérabilité était contenue dans un mode “hérité” qui contrôlait les fonctionnalités de style qui revenaient à une version précédente. Cette partie du code a été affectée.
Voici comment WordFence le décrit:
«Bien que toutes ces fonctionnalités aient utilisé des vérifications de capacité, deux d’entre elles n’ont pas pu vérifier les nonces, qui sont utilisés pour vérifier qu’une demande a été intentionnellement soumise par un utilisateur légitime.
… Un script malveillant exécuté dans le navigateur d’un administrateur peut être utilisé pour ajouter de nouveaux comptes administratifs, ce qui conduirait à l’acquisition complète du site, tandis qu’un script malveillant exécuté dans le navigateur d’un visiteur peut être utilisé pour rediriger ce visiteur. à un site Web malveillant “
Journal des modifications de Ninja Forms
Les éditeurs du plugin Ninja Forms ont mis à jour le plugin de manière responsable en temps opportun. Ils ont également réfléchi honnêtement à ce que la mise à jour était dans leur journal des modifications.
Un journal des modifications est une explication de ce qui a changé dans une mise à jour logicielle. Certains fabricants de plugins essaient de cacher le sujet de la mise à jour sans mentionner de vulnérabilités.
Ninja Forms a honnêtement rapporté le sujet de la mise à jour. Ceci est très important pour les éditeurs car il les avertit si quelque chose doit être mis à jour immédiatement ou si on peut s’y attendre.
Cela montre que Ninja Forms est un éditeur de plugins WordPress fiable et responsable.
Mettre à jour les formulaires Ninja maintenant
Tous les éditeurs utilisant Ninja Forms doivent immédiatement mettre à jour leur plug-in Ninja Forms. Ninja Forms Version 3.4.24.2 est la dernière version. Si vous avez une ancienne version, veuillez mettre à jour votre plugin pour éviter cette grave vulnérabilité.
Lisez le rapport WordFence sur la vulnérabilité ici:
Vulnérabilité de gravité élevée corrigée dans les formulaires Ninja
