Os desenvolvedores do popular plugin WordPress, Ninja Forms, lançaram uma correção para uma vulnerabilidade de segurança de alta gravidade que poderia permitir que os invasores injetassem códigos maliciosos para invadir um site inteiro se deixados sem patch.
Todas as versões do plugin até 3.4.24.2 são afetadas pela vulnerabilidade de CSRF (Cross-Site Request Forgery ) que pode ser usada para iniciar ataques de Stored Cross-Site Scripting (Stored XSS) nos sites WordPress dos usuários.
Um invasor pode explorar a vulnerabilidade no Ninja Forms, fazendo um administrador do WordPress clicar em links especialmente criados que injetam código JavaScript malicioso como parte de um formulário de contato importado.
Atualmente, o Ninja Forms está instalado em mais de 1 milhão de sites WordPress e o plug-in do construtor de formulários permite que os usuários criem rapidamente formulários complexos por meio de seu editor baseado em arrastar e soltar.
Ninja Forms tinha uma vulnerabilidade no CSRF
O WordFence descobriu e relatou com responsabilidade a vulnerabilidade do CSRF ao desenvolvedor do Ninja Forms, Saturday Drive em 27 de abril. O desenvolvedor lançou rapidamente uma correção de segurança para o problema com a versão mais recente de seu plugin, lançada menos de um dia após o relatório de divulgação inicial do WordFence .
Em uma postagem no blog , o engenheiro de controle de qualidade do WordFence, Ram Gall forneceu mais detalhes sobre como um invasor poderia aproveitar a vulnerabilidade se os proprietários do site não atualizarem o plug-in para a versão mais recente, dizendo:
“Um invasor pode usar essa vulnerabilidade para substituir uma tag HTML como <head> por Javascript malicioso. Isso faria com que o código malicioso fosse executado em quase todas as páginas do site afetado, pois quase todas as páginas começam com uma tag HTML <head> para o cabeçalho da página, criando um impacto significativo se exploradas com êxito. O código malicioso pode ser usado para injetar uma nova conta de usuário administrativo, roubar cookies de sessão ou redirecionar usuários para um site malicioso, permitindo que os invasores obtenham acesso administrativo ou infectem visitantes inocentes navegando em um site comprometido. ”
Embora o Ninja Forms já tenha corrigido o problema, apenas 170.000 dos 1 milhão de usuários do plugin atualizaram suas instalações para a versão mais recente durante a última semana. Se o seu site usa esse plug-in, é altamente recomendável que você atualize para a versão mais recente agora para evitar ser vítima de possíveis ataques que alavancem a vulnerabilidade do CSRF.
Saiba mais em nosso setor de dicas de desenvolvimento web.
