Sono state rivelate numerose vulnerabilità di sicurezza nel plug-in Ninja Forms per WordPress che potrebbero essere sfruttate dagli autori delle minacce per aumentare i privilegi e rubare dati sensibili.
I difetti, tracciati come CVE-2023-37979, CVE-2023-38386 e CVE-2023-38393, incidono sulle versioni 3.6.25 e precedenti, Patchstack disse in un rapporto della settimana scorsa. Ninja Forms è installato su oltre 800.000 siti.
Di seguito è riportata una breve descrizione di ciascuna vulnerabilità:
- CVE-2023-37979 (Punteggio CVSS: 7,1) – Un difetto di cross-site scripting (XSS) basato su POST che potrebbe consentire a qualsiasi utente non autenticato di ottenere un’escalation dei privilegi su un sito WordPress di destinazione inducendo gli utenti privilegiati a visitare un sito Web appositamente predisposto.
- CVE-2023-38386 E CVE-2023-38393 – Difetti di controllo degli accessi interrotti nella funzionalità di esportazione degli invii di moduli che potrebbero consentire a un utente malintenzionato con ruoli di abbonato e collaboratore di esportare tutti gli invii di Ninja Forms su un sito WordPress.
Si consiglia agli utenti del plug-in di aggiornare alla versione 3.6.26 per mitigare potenziali minacce.
La divulgazione arriva come Patchstack rivelato un altro rifletteva un difetto di vulnerabilità XSS nel kit di sviluppo software (SDK) di Freemius WordPress che interessava le versioni precedenti alla 2.5.10 (CVE-2023-33999) che potrebbero essere sfruttati per ottenere privilegi elevati.
La società di sicurezza WordPress ha scoperto anche un file bug critico nel plugin HT Mega (CVE-2023-37999) presente nelle versioni 2.2.0 e precedenti che consente a qualsiasi utente non autenticato di aumentare i propri privilegi a quelli di qualsiasi ruolo sul sito WordPress.