idNSA.id - Tim pengembang oh plugin Ninja Forms memperbaiki kesalahan keamanan tingkat tinggi yang memungkinkan penyerang mengambil alih situs web.
Pengembang di belakang plugin Ninja Forms WordPress telah membahas kerentanan Cross-Site Request Forgery (CSRF) yang dapat menyebabkan serangan Stored Cross-Site Scripting (Stored XSS).
Ninja Forms adalah plugin build and drop form builder untuk WordPress builder yang memungkinkan pengguna untuk dengan mudah membuat formulir kompleks hanya dalam beberapa menit.
Plugin WordPress saat ini memiliki lebih dari 1 juta pemasangan, bugsnya mempengaruhi semua versi Formulir Ninja hingga 3.4.24.2.
Masalah ini, yang dinilai sebagai bugs keamanan tingkat keparahan tinggi (skor CVSS 8,8), dapat dimanfaatkan oleh penyerang untuk inject kode berbahaya dan mengambil alih situs web.
"Pada tanggal 27 April 2020, tim Wordfence Threat Intelligence menemukan kerentanan Cross-Site Request Forgery (CSRF) dalam Formulir Ninja , sebuah plugin WordPress dengan lebih dari 1 juta instalasi." membaca tulisan yang diterbitkan oleh WordFence. "Kerentanan ini memungkinkan penyerang untuk menipu administrator agar mengimpor formulir kontak yang berisi JavaScript berbahaya dan mengganti formulir kontak apa pun yang ada dengan versi jahat."
Skenario serangan melihat peretas menipu admin WordPress agar mengklik tautan yang dibuat khusus yang menyuntikkan kode JavaScript berbahaya sebagai bagian dari formulir kontak yang baru diimpor.
Para ahli dari Wordfence menjelaskan bahwa peretas dapat menyalahgunakan fungsi plugin untuk mengganti semua formulir yang ada di situs web yang ditargetkan dengan yang berbahaya.
Plugin Ninja Forms termasuk mode "legacy" yang memungkinkan pengguna untuk mengembalikan gaya dan fiturnya ke versi akhir 2.9.x plugin. Ini memanfaatkan beberapa fungsi AJAX yang mengimpor formulir dan bidang antara mode "lawas" dan mode default. Para ahli memperhatikan bahwa dua fungsi ini gagal untuk memeriksa ketidaksesuaian, ini berarti mereka tidak memverifikasi identitas pengguna yang mengirim permintaan.
Fungsi ninja_forms_ajax_import_form AJAX adalah salah satunya dan masalah ini memungkinkan untuk memalsukan permintaan menggunakan sesi administrator setelah mereka mengklik tautan buatan dan mengimpor formulir yang berisi kode JavaScript berbahaya.
"Dengan demikian, jika seorang penyerang dapat menipu seorang administrator untuk mengklik tautan yang dibuat, mereka dapat menipu permintaan menggunakan sesi administrator itu dan mengimpor formulir yang berisi JavaScript berbahaya ke dalam situs. Lebih buruk lagi, adalah mungkin untuk mengganti formulir apa pun yang ada di situs dengan salah satu formulir yang diimpor ini dengan mengatur parameter formID $ _POST ke ID dari formulir yang ada. " melanjutkan posting.
“Bergantung pada tempat JavaScript ditempatkan dalam formulir yang diimpor, itu dapat dieksekusi di browser korban setiap kali mereka mengunjungi halaman yang berisi formulir, setiap kali Administrator mengunjungi halaman Impor / Ekspor plugin, atau setiap kali Administrator berusaha mengedit salah satu dari itu. bidang formulir, "
Para ahli menjelaskan bahwa masalah ini memungkinkan peretas untuk melakukan serangan Cross-Site Scripting (XSS), skrip berbahaya yang dijalankan di browser Administrator dapat digunakan untuk menambahkan akun administratif baru, sedangkan skrip berbahaya yang dieksekusi di browser pengunjung dapat digunakan untuk mengarahkan pengunjung itu ke situs malicious.
Berikut ini merupakan timeline masalah:
1) 27 April 2020 19:00 UTC - Tim Intelijen Ancaman kami menemukan dan menganalisis kerentanan dan memverifikasi bahwa Aturan Firewall kami yang ada menyediakan perlindungan yang memadai terhadap XSS.
2) 27 April 2020 19:24 UTC - Kami memberikan pengungkapan penuh kepada pengembang plugin sesuai Kebijakan Pengungkapan Keamanan Bertanggung Jawab mereka.
3) 27 April 2020 20:27 UTC - Kami menerima respons bahwa patch akan tersedia pada hari berikutnya.
4) 28 April 2020 19:00 UTC - Versi tambalan dari plugin dirilis.
Pada saat penulisan, lebih dari 800.000 situs WordPress masih menggunakan versi plugin yang rentan.
Beberapa hari yang lalu, WordFence juga mengungkapkan masalah lain yang mempengaruhi plugin Real-Time Find dan Replace WordPress.
Sayangnya, jumlah serangan yang mencoba mengeksploitasi kerentanan di plugin WordPress terus meningkat.
Beberapa minggu yang lalu, para peneliti di NinTechNet melaporkan kampanye yang sedang berlangsung yang secara aktif mengeksploitasi cacat nol hari di bidang WordPress Flexible Checkout Fields untuk plugin WooCommerce . Serangan lain yang baru-baru ini diamati adalah:
1) Januari 2020 - Kerentanan bypass otentikasi dalam plugin InfiniteWP yang berpotensi berdampak pada lebih dari 300.000 situs.
2) Januari 2020 - Lebih dari 200 ribu situs WordPress terkena serangan karena bug pemalsuan permintaan lintas situs (CSRF) tingkat tinggi dalam plugin Code Snippets .
3) Februari 2020 - Kekurangan serius pada plugin Theme WordPress Demo importir ThemeGrill dengan lebih dari 200.000 pemasangan aktif dapat dieksploitasi untuk menghapus situs dan mendapatkan akses admin ke situs.
4) Februari 2020 - Kerentanan lintas situs yang tersimpan di plugin GDPR Cookie Consent yang berpotensi berdampak pada 700 ribu pengguna.
5) Februari 2020 - Kerentanan nol hari di ThemeREX Addons secara aktif dieksploitasi oleh peretas di alam liar untuk membuat akun pengguna dengan izin admin.
6) Maret 2020 - Plugin WordPress ' ThemeREX Addons ' dipengaruhi oleh kerentanan kritis yang memungkinkan penyerang jarak jauh untuk mengeksekusi kode arbitrer.
7) Maret 2020 - Kekurangan dalam plugin Popup Builder WordPress dapat memungkinkan penyerang yang tidak diautentikasi untuk menyuntikkan kode JavaScript berbahaya ke dalam sembulan dari 100K + situs web.
8) Maret 2020 - Kekurangan kritis dalam plugin Rank Math WordPress memungkinkan peretas untuk memberi pengguna hak istimewa Admin
Saya percaya sangat penting untuk melindungi instalasi WordPress dengan solusi khusus, saya saat ini menggunakan solusi WordFence , perusahaan yang diberi lisensi untuk mengevaluasi fitur premium.
Sumber: securityaffairs
