Beliebtes WordPress-Formular-Plugin Ninja Form hat kürzlich sein Plugin aktualisiert, um schwerwiegende Sicherheitslücken zu schließen. Die Sicherheitsanfälligkeit wird als schwerwiegend eingestuft, da ein Angreifer dadurch den Zugriff auf Administratorebene stehlen und die Kontrolle über die gesamte Site übernehmen kann.
Sicherheitslücke durch Cross-Site-Request-Spoofing
Der Exploit, der dies verursacht, wird als Fälschung von standortübergreifenden Anforderungen bezeichnet. Diese Art von Sicherheitsanfälligkeit nutzt das Fehlen einer normalen Sicherheitskontrolle aus, die es einem Angreifer ermöglicht, Dateien hochzuladen oder zu ersetzen und sogar Administratorzugriff zu erhalten.
Sehen Sie, wie die Common Weakness Enumeration-Website diese Art von Sicherheitsanfälligkeit beschreibt:
„Die Webanwendung überprüft nicht oder nicht ausreichend, ob der Benutzer, der die Anfrage gesendet hat, absichtlich eine gültige, konsistente und wohlgeformte Anfrage gestellt hat.
… Es ist möglich, dass ein Angreifer einen Client dazu verleitet, eine unbeabsichtigte Anfrage an den Webserver zu richten, die als echte Anfrage behandelt wird. … Und kann zu Datenexposition oder unbeabsichtigter Codeausführung führen. “
Ninja bildet eine Sicherheitsanfälligkeit mit hoher Schwerkraft
WordFence WordPress Security entdeckte den Exploit und benachrichtigte die Herausgeber sofort über das Ninja Forms WordPress-Plugin. Ninja Forms hat die Sicherheitslücke sofort innerhalb von 24 Stunden behoben.
Laut WordFence war die Sicherheitsanfälligkeit in einem “Legacy” -Modus enthalten, der die Styling-Funktionen kontrollierte, die auf eine frühere Version zurückgesetzt wurden. Dieser Teil des Codes ist betroffen.
So beschreibt WordFence es:
„Während alle diese Funktionen Kapazitätsprüfungen verwendeten, konnten zwei von ihnen keine Nonces überprüfen, mit denen überprüft wird, ob eine Anfrage absichtlich von einem legitimen Benutzer gesendet wurde.
… Ein bösartiges Skript, das im Browser eines Administrators ausgeführt wird, kann zum Hinzufügen neuer Administratorkonten verwendet werden, was zur vollständigen Erfassung der Site führen würde, während ein bösartiges Skript, das im Browser eines Besuchers ausgeführt wird, verwendet werden kann, um diesen Besucher umzuleiten. auf eine bösartige Website “
Ninja bildet Changelog
Die Redakteure des Ninja Forms-Plugins haben das Plugin verantwortungsbewusst und zeitnah aktualisiert. Sie haben auch ehrlich darüber nachgedacht, was das Update in ihrem Changelog war.
Ein Änderungsprotokoll erklärt, was sich in einem Softwareupdate geändert hat. Einige Plugin-Hersteller versuchen zu verbergen, worum es bei dem Update ging, ohne Schwachstellen zu erwähnen.
Ninja Forms berichtete ehrlich, worum es bei dem Update ging. Dies ist für Verlage sehr wichtig, da sie darauf hingewiesen werden, ob etwas sofort aktualisiert werden muss oder erwartet werden kann.
Dies zeigt, dass Ninja Forms ein vertrauenswürdiger und verantwortungsbewusster WordPress-Plugin-Editor ist.
Aktualisieren Sie jetzt Ninja Forms
Alle Publisher, die Ninja Forms verwenden, sollten ihr Ninja Forms-Plugin sofort aktualisieren. Ninja Forms Version 3.4.24.2 ist die neueste Version. Wenn Sie eine ältere Version haben, aktualisieren Sie bitte Ihr Plugin, um diese schwerwiegende Sicherheitsanfälligkeit zu vermeiden.
Lesen Sie hier den WordFence-Bericht zur Sicherheitsanfälligkeit:
Sicherheitslücke mit hohem Schweregrad in Ninja-Formularen behoben
