Hvem er WordPress?
WordPress er det mest populære content management system (CMS), der bruges til at lave hjemmesider. WordPress giver dig mulighed for nemt at bygge og administrere din egen hjemmeside uden at skulle have kendskab til, hvordan du koder. WordPress er brugervenligt og tilbyder en bred vifte af tilpassede temaer og plugins.
Hvem er Ninja Forms?
Ninja Forms er en WordPress-plugin, der giver dig mulighed for at oprette formularer på din WordPress-websted uden at skulle kode1. Ninja Forms bringer brugeren ind i et grafisk nyt interface til formbygning og væk fra det traditionelle WordPress-administrationspanel.
Dette blogindlæg handler om Ninja Forms plugin sårbarheder. Hvis du er en Ninja Forms-bruger, skal du opdatere pluginet til mindst version 3.6.26.
Pluginet Ninja Forms version 3.6.25 og derunder, gratis version), som har over 900.000 aktive installationer, er kendt som det mere populære formularbygger-plugin i WordPress. Dette plugin er udviklet af Saturday Drive.
Dette plugin er et gratis formbygger-plugin til WordPress, der gør det muligt for os at opbygge næsten enhver form for form, vi kunne forestille os. Lige fra enkle kontaktformularer til begivenhedsregistreringer, filuploads, betalinger og mere.
Sikkerhedssårbarhed
Dette plugin lider af flere sårbarheder. Den første sårbarhed er en POST-baseret reflekteret XSS. Denne sårbarhed kan give enhver ikke-godkendt bruger mulighed for at stjæle følsomme oplysninger til, i dette tilfælde, privilegieeskalering på WordPress-webstedet ved at narre privilegerede brugere til at besøge det udformede websted. Den beskrevne sårbarhed blev rettet i version 3.6.26 og tildelt CVE-2023-37979.
Den anden og tredje sårbarhed er en brudt adgangskontrol på eksportfunktionen til formularindsendelser. Denne sårbarhed gør det muligt for abonnent- og bidragyderrollebruger at eksportere alle Ninja Forms-indsendelser på et WordPress-websted. Den beskrevne sårbarhed blev også rettet i version 3.6.26 og tildelt CVE-2023-38393 og CVE-2023-38386.
XSS sårbarheder er meget udbredt
Funktionen er indstillet til at være en funktionshandler af load-edit.php hook, som kan udløses, når en bruger for eksempel besøger /wp-admin/edit.php slutpunktet. Da der ikke er nogen ordentlig tilladelseskontrol, kan bruger med minimumsrollen bidragyder som standard eksportere formularindsendelser.
Løsningen
For det reflekterede XSS-problem beslutter leverandøren at begrænse, hvilken metode brugeren kan få adgang til fra funktionen. Med denne patch er det nok at forhindre brugeren i direkte at kalde _respond-funktionen for at udløse XSS. Plasteret https://plugins.trac.wordpress.org/changeset/2933997/ninja-forms/tags/3.6.26/includes/AJAX/REST/Controller.php?old=2238469&old_path=ninja-forms/trunk/includes/AJAX/REST/Controller.php kan ses nedenfor:
For den ødelagte adgangskontrol Subscriber+ bør tilføjelse af en tilladelseskontrol også løse det rapporterede problem. Plasteret https://plugins.trac.wordpress.org/changeset?old_path=/ninja-forms/tags/3.6.25&old=&new_path=/ninja-forms/tags/3.6.26&new=&sfp_email=&sfph_mail= kan ses nedenfor:
For Contributor+ brudt adgangskontrol bør tilføjelse af en tilladelseskontrol også løse det rapporterede problem. Plasteret https://plugins.trac.wordpress.org/changeset/2933997/ninja-forms/tags/3.6.26/includes/Admin/Menus/Submissions.php?old=2866556&old_path=ninja-forms/trunk/includes/Admin/Menus/Submissions.php kan ses nedenfor:
Konklusion
I nogle tilfælde skal plugin eller temakode kalde en bestemt funktion eller klasse fra brugerleveret streng. Prøv altid at kontrollere og begrænse, hvilken funktion eller klasse brugeren kan ringe direkte til. Vær også ekstra opmærksom på en eksportdatahandling, og implementer altid tilladelse eller adgangskontrol til de relaterede funktioner.
Tidslinje
- juni, 2023Vi fandt sårbarheden og kontaktede plugin-leverandøren.
- 04 Juli, 2023Ninja Forms version 3.6.26 blev offentliggjort for at rette det rapporterede problem.
- juli, 2023Tilføjede sårbarhederne til Patchstack-sårbarhedsdatabasenhttps://patchstack.com/database/.
- juli, 2023Sikkerhedsrådgivningsartikel offentliggjort.
Kilde: Patchstack
Fotokredit: WordPress og Ninjaforms