Der Sicherheitsdienstleister Wordfence hat im WordPress-Plugin Ninja Forms eine kritische Sicherheitslücke entdeckt. Das beliebte Plugin werde auf über einer Million Installationen von WordPress eingesetzt.
Im Plugin haben die Security-Experten eine Code-Injection-Schwachstelle entdeckt, die es nicht authentifizierten Angreifern ermöglicht, eine begrenzte Anzahl von Methoden in verschiedenen Ninja Forms-Klassen aufzurufen, einschließlich einer Methode, die vom Benutzer bereitgestellte Inhalte unserialisiert, was zu einer Object Injection führen könne. Über diese Lücke könnten Angreifern beliebigen Code auszuführen oder beliebige Dateien auf Seiten löschen.
Dieser Fehler sei in den Ninja-Forms-Versionen 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 und 3.6.11 vollständig behoben, teilt Wordfence mit. WordPress scheine zudem ein automatisches Zwangsupdate für dieses Plugin durchgeführt zu haben, sodass möglicherweise bereits eine der gepatchten Versionen verwendet werde. Admins sollten aber dringend sicherstellen, dass eine der gepatchten Versionen zum Einsatz komme, da automatische Updates nicht immer erfolgreich seien.
