WordPress Ninja Forms漏洞暴露了超过一百万的网站

WordPress Ninja Forms漏洞暴露了超过一百万的网站插图

今天有消息称,流行的WordPress联系表Ninja Forms修补了两个漏洞,影响了超过100万的WordPress安装。这代表了在许多WordPress插件中发现的越来越多的REST API相关漏洞中的另一个。必须重申的是,WordPress REST API本身没有问题。问题的根源在于WordPress插件如何设计它们与REST API的相互作用。

一、WordPress REST API

WordPress REST API是一个允许插件与WordPress核心互动的接口。REST API允许插件、主题和其他应用程序操作WordPress的内容并创建互动功能。这项技术扩展了WordPress核心所能做的事情。WordPress核心通过REST API接口接收来自插件的数据,以完成这些新的体验。

然而,就像任何其他允许上传或输入数据的互动一样,重要的是要 “净化 “正在输入的内容和谁能够进行输入,以确保数据是预期的和设计的。

如果不对输入进行处理,不限制谁能够输入数据,就会导致漏洞的出现。而这正是这里发生的事情。

二、权限回调漏洞

这两个漏洞是一个单一的REST API验证问题造成的,特别是在许可回调中。权限回调是认证过程的一部分,它将对REST API端点的访问限制为授权用户。

WordPress的官方文档将一个端点描述为一个函数:

“端点是通过API提供的功能。这可以是像检索API索引,更新一个帖子,或删除一个评论。端点执行一个特定的功能,接受一些参数并向客户端返回数据”。

根据WordPress REST API文档:

“权限回调对于WordPress REST API的安全是非常重要的。

如果你有任何不应该公开显示的私人数据,那么你需要为你的端点注册权限回调。”

三、两个WordPress Ninja Forms漏洞

有两个漏洞,都与实施中的权限回调错误有关。WordPress REST API本身没有问题,但插件制造商如何实现它可能导致问题。

这就是两个漏洞:

  • 敏感信息泄露
  • 不受保护的REST-API到电子邮件的注入

敏感信息泄露漏洞

敏感信息披露漏洞允许任何注册用户,甚至是订阅者,导出曾经提交给该网站的每一个表格。这包括某人可能已经提交的所有机密信息。

Ninja Forms有一个权限回调,检查用户是否注册,但它没有检查用户是否有适当的权限级别来执行通过Ninja Forms WordPress插件提交的所有表单的批量导出。由于没有检查用户的权限级别,所以任何注册用户,包括网站订阅者,都可以执行所有提交表格的批量导出。

不受保护的REST-API到电子邮件的注入

这个漏洞是由于同样的错误的权限回调,未能检查注册攻击者的权限级别。该漏洞利用了Ninja Forms的一个功能,该功能允许网站发布者在表单提交后批量发送电子邮件通知或电子邮件确认。电子邮件注入漏洞允许攻击者使用这个特定的Ninja Forms功能,从有漏洞的网站向任何电子邮件地址发送电子邮件。

这个特殊的漏洞有可能对网站的客户发起全面的网站接管或网络钓鱼活动。根据发现该漏洞的Wordfence公司的安全研究人员的说法:

“这个漏洞可以很容易地被用来创建一个钓鱼活动,通过滥用对用于发送电子邮件的域名的信任,欺骗毫无戒心的用户执行不必要的行动。

此外,一个更有针对性的鱼叉式网络钓鱼攻击可以用来欺骗网站所有者,使其相信电子邮件来自他们自己的网站。

这可以用来欺骗管理员在一个假的登录页面上输入他们的密码,或者让攻击者利用第二个需要社会工程的漏洞,如跨站请求伪造或跨站脚本,这可以用来接管网站。”

四、建议立即对Ninja Forms进行更新

安全研究人员是Wordfence建议WordPress Ninja Forms插件的用户立即更新其插件。该漏洞被评为中等程度的危险,在1到10分的评分中,得分6.5分。

 收藏 (0) 更新不易,打赏吧

您可以选择一种方式赞助本站

支付宝扫一扫赞助

微信钱包扫描赞助

除特别注明外,本站所有文章均基于CC-BY-NC-SA 4.0原创,转载请注明出处。
文章名称:《WordPress Ninja Forms漏洞暴露了超过一百万的网站》
文章链接:https://www.banzhuti.com/10980.html
分享到: 生成海报
版权免责声明

① 本站提供的资源(插件或主题)均为网上搜集,如有涉及或侵害到您的版权请立即通知我们。
② 本站所有下载文件,仅用作学习研究使用,请下载后24小时内删除,支持正版,勿用作商业用途。
③ 因代码可变性,不保证兼容所有浏览器、不保证兼容所有版本的WP、不保证兼容您安装的其他插件。
④ 本站保证所提供资源(插件或主题)的完整性,但不含授权许可、帮助文档、XML文件、PSD、后续升级等。
⑤ 由本站提供的资源对您的网站或计算机造成严重后果的本站概不负责。
⑥ 使用该资源(插件或主题)需要用户有一定代码基础知识!另本站提供汉化使用安装教程,仅供参考。
⑦ 有时可能会遇到部分字段无法汉化,同时请保留作者汉化宣传信息,谢谢!
⑧ 本站资源售价只是赞助和汉化辛苦费,收取费用仅维持本站的日常运营所需。
⑨ 如果喜欢本站资源,欢迎捐助本站开通会员享受优惠折扣,谢谢支持!
⑩ 如果网盘地址失效,请在相应资源页面下留言,我们会尽快修复下载地址。

热门文章

评论 抢沙发

评论前必须登录!

立即登录   注册

WordPress主题 插件 建站 汉化

定制服务联系我们
切换注册

登录

点击按钮进行验证

忘记密码 ?

您也可以使用第三方帐号快捷登录

切换登录

注册

我们将发送一封验证邮件至你的邮箱, 请正确填写以完成账号注册和激活