Nhiều lỗ hổng bảo mật đã được tiết lộ trong plugin Ninja Forms dành cho WordPress có thể bị các tác nhân đe dọa khai thác để leo thang đặc quyền và đánh cắp dữ liệu nhạy cảm.
Các lỗ hổng, được theo dõi là CVE-2023-37979, CVE-2023-38386 và CVE-2023-38393, ảnh hưởng đến các phiên bản 3.6.25 trở xuống, Patchstack cho biết trong một báo cáo vào tuần trước. Ninja Forms được cài đặt trên hơn 800.000 trang web.
Dưới đây là mô tả ngắn gọn về từng lỗ hổng :
CVE-2023-37979 (Điểm CVSS: 7,1) – Một lỗ hổng cross-site scripting (XSS) được phản ánh dựa trên POST có thể cho phép bất kỳ người dùng chưa được xác thực nào đạt được sự leo thang đặc quyền trên trang web WordPress mục tiêu bằng cách lừa người dùng đặc quyền truy cập trang web được tạo đặc biệt.
CVE-2023-38386 và CVE-2023-38393 – Lỗi kiểm soát truy cập bị hỏng trong tính năng xuất biểu mẫu gửi có thể cho phép kẻ xấu có vai trò Người đăng ký và Người đóng góp xuất tất cả các lần gửi Biểu mẫu Ninja trên trang web WordPress.
Người dùng plugin nên cập nhật lên phiên bản 3.6.26 để giảm thiểu các mối đe dọa tiềm ẩn.
Tiết lộ được đưa ra khi Patchstack tiết lộ một lỗ hổng bảo mật XSS được phản ánh khác trong bộ công cụ phát triển phần mềm Freemius WordPress (SDK) ảnh hưởng đến các phiên bản trước 2.5.10 (CVE-2023-33999) có thể bị khai thác để có được các đặc quyền nâng cao.
Cũng được công ty bảo mật WordPress phát hiện là một lỗi nghiêm trọng trong plugin HT Mega (CVE-2023-37999) có trong các phiên bản 2.2.0 trở xuống cho phép bất kỳ người dùng chưa được xác thực nào nâng cấp đặc quyền của họ lên bất kỳ vai trò nào trên trang web WordPress.
