Um milhão de sites afetados: quatro vulnerabilidades graves foram corrigidas em plug-in de formulário.

No dia 20 de janeiro a equipe de inteligência do wordfence revelou quatro vulnerabilidades graves no Ninja Forms, um plugin WordPress usado por mais de um milhão de sites em todo o mundo.

Uma dessas falhas possibilitou que os invasores redirecionassem os administradores do site para locais arbitrários. 

A segunda falha possibilitou que invasores com acesso de assinante ou superior instalassem um plugin que poderia ser usado para interceptar todo o tráfego de e-mail. 

A terceira falha possibilitou que invasores com acesso de nível de assinante recuperassem a chave de conexão Ninja Form OAuth, que poderia ser usada para estabelecer uma conexão com o painel de gerenciamento central de Formulários Ninja. 

A falha final possibilitou que os invasores desconectassem a conexão OAuth de um site se conseguissem enganar o administrador de um site para que executasse uma ação. Essas falhas podem ser usadas para assumir o controle de um site WordPress e redirecionar os proprietários de sites para sites maliciosos.

Inicialmente, a equipe de inteligência do Wordfence entrou em contato com a  Saturday Drive, a empresa controladora do plugin, em 20 de janeiro de 2021 por meio de seu contato de e-mail de divulgação responsável e fornecemos os detalhes completos de divulgação no momento do relatório. 

Poucos dias depois, em 25 de janeiro de 2021, o Ninja Forms lançou um patch para 3 das 4 vulnerabilidades. A equipe do Wordfence fez todo o acompanhamento de que uma das vulnerabilidades ainda estava presente. Eles lançaram um patch final em 8 de fevereiro de 2021.

As vulnerabilidades são consideradas graves que podem levar ao controle total do site, portanto, é recomendável a atualização para a versão totalmente corrigida, 3.4.34.1, imediatamente.

Os usuários do Wordfence Premium receberam uma regra de firewall para proteção contra qualquer exploits direcionados a essas vulnerabilidades em 20 de janeiro de 2021. 

Sites que ainda usam a versão gratuita do Wordfence receberão a mesma proteção em 19 de fevereiro de 2021.

Para saber mais sobre a falha visite o site do wordfence com todos os detalhes das vulnerabilidades.

Fonte: Wodfence