WordPress Ninja Forms漏洞暴露了超过一百万的网站

今天有消息称，流行的WordPress联系表Ninja Forms修补了两个漏洞，影响了超过100万的WordPress安装。这代表了在许多WordPress插件中发现的越来越多的REST API相关漏洞中的另一个。必须重申的是，WordPress REST API本身没有问题。问题的根源在于WordPress插件如何设计它们与REST API的相互作用。

一、WordPress REST API

WordPress REST API是一个允许插件与WordPress核心互动的接口。REST API允许插件、主题和其他应用程序操作WordPress的内容并创建互动功能。这项技术扩展了WordPress核心所能做的事情。WordPress核心通过REST API接口接收来自插件的数据，以完成这些新的体验。

然而，就像任何其他允许上传或输入数据的互动一样，重要的是要 “净化 “正在输入的内容和谁能够进行输入，以确保数据是预期的和设计的。

如果不对输入进行处理，不限制谁能够输入数据，就会导致漏洞的出现。而这正是这里发生的事情。

二、权限回调漏洞

这两个漏洞是一个单一的REST API验证问题造成的，特别是在许可回调中。权限回调是认证过程的一部分，它将对REST API端点的访问限制为授权用户。

WordPress的官方文档将一个端点描述为一个函数：

“端点是通过API提供的功能。这可以是像检索API索引，更新一个文章，或删除一个评论。端点执行一个特定的功能，接受一些参数并向客户端返回数据”。

根据WordPress REST API文档：

“权限回调对于WordPress REST API的安全是非常重要的。

如果你有任何不应该公开显示的私人数据，那么你需要为你的端点注册权限回调。”

三、两个WordPress Ninja Forms漏洞

有两个漏洞，都与实施中的权限回调错误有关。WordPress REST API本身没有问题，但插件制造商如何实现它可能导致问题。

这就是两个漏洞:

• 敏感信息泄露
• 不受保护的REST-API到电子邮件的注入

敏感信息泄露漏洞

敏感信息披露漏洞允许任何注册用户，甚至是订阅者，导出曾经提交给该网站的每一个表格。这包括某人可能已经提交的所有机密信息。

Ninja Forms有一个权限回调，检查用户是否注册，但它没有检查用户是否有适当的权限级别来执行通过Ninja Forms WordPress插件提交的所有表单的批量导出。由于没有检查用户的权限级别，所以任何注册用户，包括网站订阅者，都可以执行所有提交表格的批量导出。

不受保护的REST-API到电子邮件的注入

这个漏洞是由于同样的错误的权限回调，未能检查注册攻击者的权限级别。该漏洞利用了Ninja Forms的一个功能，该功能允许网站发布者在表单提交后批量发送电子邮件通知或电子邮件确认。电子邮件注入漏洞允许攻击者使用这个特定的Ninja Forms功能，从有漏洞的网站向任何电子邮件地址发送电子邮件。

这个特殊的漏洞有可能对网站的客户发起全面的网站接管或网络钓鱼活动。根据发现该漏洞的Wordfence公司的安全研究人员的说法：

“这个漏洞可以很容易地被用来创建一个钓鱼活动，通过滥用对用于发送电子邮件的域名的信任，欺骗毫无戒心的用户执行不必要的行动。

此外，一个更有针对性的鱼叉式网络钓鱼攻击可以用来欺骗网站所有者，使其相信电子邮件来自他们自己的网站。

这可以用来欺骗管理员在一个假的登录页面上输入他们的密码，或者让攻击者利用第二个需要社会工程的漏洞，如跨站请求伪造或跨站脚本，这可以用来接管网站。”

四、建议立即对Ninja Forms进行更新

安全研究人员是Wordfence建议WordPress Ninja Forms插件的用户立即更新其插件。该漏洞被评为中等程度的危险，在1到10分的评分中，得分6.5分。