פרצות אבטחה בפלאגינים Ninja Forms ו-Fluent Forms

פרצות אבטחה בפלאגינים Ninja Forms ו-Fluent Forms

פורסם ב 08-09-2024

שני פלאגינים של וורדפרס, Ninja Forms (מגירסה 3.8.10 ומטה) ו-Fluent Forms (מגירסה 5.1.18 ומטה) התגלו כבעלי פרצות אבטחה שונות.
לכל אחד מהפלאגינים יש מאות אלפי משתמשים, וכך הפרצות שבהם יכולות ביחד לסכן מעל למיליון אתרים.

מהן למעשה הפרצות שנמצאו?

Ninja Forms נמצא פגיע למתקפות Reflect XSS. זאת, מאחר והפלאגין לא “מאבטח” קלט מהמשתמש, כלומר, לא בודק שורות קוד וקלט ומוודא שהן בטוחות או מפורשות נכון. המחסור הזה באבטחה הופך את הפלאגין לפגיע למתקפות XSS. כך, ניתן להשתמש בפרצה כדי “לפתות” משתמשים בעלי הרשאות גבוהות (אדמינים למשל) ללחוץ על לינקים מזוייפים שמטרתם היא גניבת פרטים שונים של אותו משתמש.
הפרצה, אשר תוייגה כ-CVE-2024-7354, עדיין נבדקת (נכון לזמן כתיבת שורות אלה) ועוד לא קיבלה דירוג CVSS. עם זאת, היא כבר תוקנה בגירסה 3.8.11 של הפלאגין. אם אתם משתמשים בו, ניתן לעדכן אותו דרך מערכת ניהול הפלאגינים של וורדפרס לגירסה 3.8.14 (אם לא התעדכן באופן אוטומטי).

Fluent Forms, לעומת זאת, נמצא פגיע לעדכון לא מורשה של מפתח API בסנכרון עם שירות Mailchimp, בשל בדיקת אבטחה בלתי מספיקת של בקשת עדכון המפתח. כתוצאה מכך, תוקף ברמת “Subscriber” ומעלה (כאשר הוא נרשם לשירות כלשהו דרך האתר דרך הטופס, למשל) יכול לבצע שינויים במפתח API בסנכרון עם Mailchimp. בנוסף, מחסור בווידוא מפתח ה-API בסנכרון עם Mailchimp יכול לגרום לכך ששליחה מחדש של בקשת ההטמעה תגיע לשרת הנשלט על ידי התוקף.

בהתאם, הפרצה דורגה כ-4.2 מתוך 10 בסולם CVSS (רמת סיכון בינונית). היא מתוייגת כ-CVE-2024-5053 ונמצאה על ידי טוביאס ווייסהאר (Tobias Weißhaar) בבדיקה שבוצעה על ידי Wordfence.

גם פרצה זו תוקנה בגירסאות שמעל לגירסה 5.1.18, וניתן לבצע את העדכון דרך מערכת ניהול הפלאגינים של וורדפרס..