Vulnerabilidades em dois plugins de formulário de contato do WordPress afetam mais de 1,1 milhão #ÚltimasNotícias #tecnologia

Avisos foram emitidos sobre vulnerabilidades descobertas em dois dos plugins de formulário de contato mais populares do WordPress, afetando potencialmente mais de 1,1 milhão de instalações. Os usuários são aconselhados a atualizar seus plugins para as versões mais recentes.

+1 Milhão de Instalações de Formulários de Contato WordPress

Os plugins de formulário de contato afetados são Ninja Forms, (com mais de 800.000 instalações) e Contact Form Plugin by Fluent Forms (+300.000 instalações). As vulnerabilidades não estão relacionadas entre si e surgem de falhas de segurança separadas.

O Ninja Forms é afetado por uma falha ao escapar de uma URL, o que pode levar a um ataque de cross-site scripting refletido (XSS refletido), e a vulnerabilidade do Fluent Forms é devido a uma verificação de capacidade insuficiente.

Formulários Ninja refletem script entre sites

Uma vulnerabilidade Reflected Cross-Site Scripting, pela qual o plugin Ninja Forms corre risco, pode permitir que um invasor tenha como alvo um usuário de nível de administrador em um site para obter seus privilégios de site associados. É preciso dar um passo extra para enganar um administrador e fazê-lo clicar em um link. Essa vulnerabilidade ainda está passando por avaliação e não recebeu uma pontuação de nível de ameaça CVSS.

Formulários Fluentes sem autorização

O plugin de formulário de contato Fluent Forms não possui uma verificação de capacidade que pode levar à capacidade não autorizada de modificar uma API (uma API é uma ponte entre dois softwares diferentes que permite que eles se comuniquem entre si).

Esta vulnerabilidade requer que um invasor primeiro obtenha autorização de nível de assinante, o que pode ser obtido em sites WordPress que tenham o recurso de registro de assinante ativado, mas não é possível para aqueles que não têm. Esta vulnerabilidade recebeu uma pontuação de nível de ameaça médio de 4,2 (em uma escala de 1 a 10).

O Wordfence descreve esta vulnerabilidade:

“O plugin Contact Form da Fluent Forms para Quiz, Survey e Drag & Drop WP Form Builder para WordPress é vulnerável a atualizações não autorizadas da chave de API Malichimp devido a uma verificação de capacidade insuficiente na função verifyRequest em todas as versões até, e incluindo, 5.1.18.

Isso torna possível para os Form Managers com acesso de nível de Assinante e acima modificar a chave da API do Mailchimp usada para integração. Ao mesmo tempo, a validação da chave da API do Mailchimp ausente permite o redirecionamento das solicitações de integração para o servidor controlado pelo invasor.”

Ação recomendada

Usuários de ambos os formulários de contato são recomendados a atualizar para as versões mais recentes de cada plugin de formulário de contato. O formulário de contato Fluent Forms está atualmente na versão 5.2.0. A versão mais recente do plugin Ninja Forms é 3.8.14.

Leia o NVD Advisory para o plugin de formulário de contato do Ninja Forms: CVE-2024-7354

Leia o aviso do NVD para o formulário de contato do Fluent Forms: CVE-2024

Leia o aviso do Wordfence sobre o formulário de contato do Fluent Forms:
Plugin de formulário de contato da Fluent Forms para questionário, pesquisa e construtor de formulários WP de arrastar e soltar <= 5.1.18 – Ausência de autorização para modificação de integração autenticada (assinante+) do Mailchimp

Imagem em destaque por Shutterstock/Cast Of Thousands