В плъгина Ninja Forms за WordPress са разкрити множество уязвимости в сигурността, които могат да бъдат използвани от заплахи за увеличаване на привилегиите и кражба на поверителни данни.

Недостатъците, проследени като CVE-2023-37979, CVE-2023-38386 и CVE-2023-38393, засягат версии 3.6.25 и по-ниски, съобщи Patchstack в доклад миналата седмица. Ninja Forms е инсталирана на над 800 000 сайта.

Кратко описание на всяка от уязвимостите е представено по-долу –

• CVE-2023-37979 (CVSS score: 7.1) – POST-базиран отразен cross-site scripting (XSS) недостатък, който може да позволи на всеки неавтентифициран потребител да постигне повишаване на привилегиите в целевия WordPress сайт, като подмами привилегировани потребители да посетят специално създаден уебсайтCVE-2023-38386 и
• CVE-2023-38393 – Пропуски в контрола на достъпа във функцията за експортиране на подадени формуляри, които могат да позволят на недоброжелател с роли Subscriber (абонат) и Contributor (сътрудник) да експортира всички подадени формуляри Ninja Forms в сайт на WordPress.
  На потребителите на плъгина се препоръчва да актуализират до версия 3.6.26, за да намалят потенциалните заплахи.

Разкритието идва в момент, когато Patchstack разкри друг отразен недостатък на XSS уязвимостта в комплекта за разработка на софтуер (SDK) на Freemius WordPress, засягащ версии преди 2.5.10 (CVE-2023-33999), който може да бъде използван за получаване на повишени привилегии.

От компанията за сигурност на WordPress е открит и критичен бъг в плъгина HT Mega (CVE-2023-37999), присъстващ във версии 2.2.0 и по-късни, който позволява на всеки неаутентифициран потребител да увеличи привилегиите си до тези на всяка роля в сайта на WordPress.