Προσθήκη σχολίου (20 σχόλια)

Το Ninja Forms, είχε μία σοβαρή ευπάθεια που θα μπορούσε να επιτρέψει σε hackers να εισάγουν κακόβουλο κώδικα Javascript.

Οι προγραμματιστές του δημοφιλούς plug-in του Wordpress Ninja Forms, επιδιόρθωσαν την ευπάθεια με την τελευταία ενημέρωση. Μία ενημέρωση που πρέπει όλοι να εγκαταστήσουν, αφού η ευπάθεια θα μπορούσε να επιτρέψει σε hackers να εισάγουν κακόβουλο κώδικα για να πάρουν τον έλεγχο του website.

Η ευπάθεια Cross-Site Request Forgery (CSRF) επηρεάζει όλες τις εκδόσεις του Ninja Forms έως και την προτελευταία 3.4.24.1 και μπορεί να χρησιμοποιηθεί για επιθέσεις τύπου Stored Cross-Site Scripting (Stored XSS) σε websites που χρησιμοποιούν την πλατφόρμα Wordpress. Ένας hacker θα μπορούσε να εκμεταλλευτεί την ευπάθεια, παραπλανώντας ουσιαστικά τον διαχειριστή της σελίδας να κάνει κλικ σε ειδικά κατασκευασμένους συνδέσμους στις φόρμες του plug-in, που εισάγουν κακόβουλο κώδικα Javascript.

Το Ninja Forms είναι εγκατεστημένο σε περισσότερα από 1 εκατομμύρια Wordpress websites, αφού το plug-in επιτρέπει την εύκολη και γρήγορη προσθήκη οποιασδήποτε φόρμας, για συλλογή στοιχείων και δεδομένων από τους χρήστες.

Την ευπάθεια CSRF βρήκε το Wordfence, όπου και ανέφερε στους προγραμματιστές του Ninja Forms στις 27 Απριλίου. Οι προγραμματιστές κυκλοφόρησαν γρήγορα μία ενημέρωση για την επιδιόρθωση του ζητήματος. Μία ενημέρωση που ήρθε σε λιγότερο από μία ημέρα.

Σε ανάρτηση blog, ο ειδικός ασφαλείας του Wordfence, Ram Gall, έδωσε περισσότερες πληροφορίες σχετικά με το πώς ένας hacker θα μπορούσε να αξιοποιήσει την ευπάθεια, εάν οι διαχειριστές δεν ενημερώσουν έγκαιρα το plug-in.

Ένας εισβολέας θα μπορούσε να χρησιμοποιήσει αυτή την ευπάθεια για να αντικαταστήσει ένα tag μέσα στην HTML, όπως το <head>, με κακόβουλο κώδικα Javascript. Αυτό θα προκαλούσε την εκτέλεση του κακόβουλου κώδικα σε σχεδόν κάθε σελίδα του site, καθώς η πλειοψηφία των σελίδων ξεκινούν με ένα tag όπως το <head>. Ο κακόβουλος κώδικας θα μπορούσε να χρησιμοποιηθεί για την προσθήκη ενός νέου λογαριασμού admin, την κλοπή cookies ή την ανακατεύθυνση των χρηστών σε άλλα sites. Αυτό θα είχε ως αποτέλεσμα, να μολυνθούν και οι επισκέπτες, εκτός από το ίδιο το site.

Αν και οι προγραμματιστές έχουν ήδη επιδιορθώσει την ευπάθεια, μόλις 170.000 χρήστες από τους συνολικά 1.000.000 που το χρησιμοποιούν, έχουν εγκαταστήσει τη σχετική ενημέρωση. Συνίσταται λοιπόν, να προβεί άμεσα ο οποιοσδήποτε έχει το Ninja Forms, στο Wordpress site του, σε εγκατάσταση της ενημέρωσης ώστε να μην πέσει θύμα της ευπάθειας CSRF.

Tech Radar