最新公告
  • 欢迎您光临源库坊,本站秉承服务宗旨 履行“站长”责任,销售只是起点 服务永无止境!立即加入我们
  • Ninja Forms 低于3.4.24.2可注入恶意代码并接管网站

    Ninja Forms是一个WordPress表单生成器插件,允许WordPress用户基于拖放编辑器,在短短几分钟内创建复杂的表单。



    目前该插件有超过100万的安装量,
    Ninja Forms 3.4.24.2 版本以下存在一个严重性较高的安全漏洞—— 跨站点请求伪造(CSRF),攻击者可以使用该插件的未修补版本来注入恶意代码并接管网站。

    攻击者可以通过诱使WordPress管理员单击特制的链接来利用此Ninja Forms错误,该链接将恶意的JavaScript代码作为新导入的联系表的一部分进行注入。

    带有恶意代码的表单

    攻击者可以滥用该插件的功能,用恶意网站替换目标网站上的所有现有表格。Wordfence QA工程师 Ram Gall 已在这篇文章中进行了详细的介绍  。

    为此,攻击者可以滥用插件的“旧版”模式所添加的ninja_forms_ajax_import_form AJAX函数,此功能可恢复为较早版本中可用的样式和功能。



    此功能不检查请求是否源自合法用户,因此,在管理员点击了恶意链接并导入包含恶意JavaScript代码的表单后,可以使用管理员的会话来欺骗请求。

    在操纵了表单的的formID $_POST参数之后,受攻击站点上的所有现有表单也可以替换为恶意表单。

    “取决于JavaScript在导入表单中的放置位置,只要受害者访问包含表单的页面,管理员访问插件的“导入/导出”页面或管理员尝试编辑以下任何内容,就可以在受害者的浏览器中执行JavaScript表单的字段。”Ram Gall 解释道。

    “与跨站脚本(XSS)攻击一样,在管理员的浏览器中执行的恶意脚本可用于添加新的管理帐户,从而完成网站的接管,而在访客的浏览器中执行的恶意脚本可用于将该访客重定向到恶意网站。”

    请尽快更新到3.4.24.2

    漏洞已于4月27日发现并负报告给Ninja Forms的开发人员,然后开发者已经发布了3.4.24.2版本来修复该漏洞。

    Wordfence对该安全问题进行了等级评定,其CVSS评分为8.8,说明这是严重性非常高的漏洞,所以使用旧版本Ninja Forms的用户,应该立即更新到3.4.24.2。

    1. 本站所有资源来源于用户上传和网络,如有侵权请邮件联系站长!
    2. 分享目的仅供大家学习和交流,您必须在下载后24小时内删除!
    3. 不得使用于非法商业用途,不得违反国家法律。否则后果自负!
    4. 本站提供的源码、模板、插件等等其他资源,都不包含技术服务请大家谅解!
    5. 如有链接无法下载、失效或广告,请联系管理员处理!
    6. 本站资源售价只是赞助,收取费用仅维持本站的日常运营所需!
    7. 如遇到加密压缩包,默认解压密码为"www.yuankufang.com",如遇到无法解压的请联系管理员!
    源库坊 » Ninja Forms 低于3.4.24.2可注入恶意代码并接管网站

    常见问题FAQ

    免费下载或者VIP会员专享资源能否直接商用?
    本站所有资源版权均属于原作者所有,这里所提供资源均只能用于参考学习用,请勿直接商用。若由于商用引起版权纠纷,一切责任均由使用者承担。更多说明请参考 VIP介绍。
    提示下载完但解压或打开不了?
    最常见的情况是下载不完整: 可对比下载完压缩包的与网盘上的容量,若小于网盘提示的容量则是这个原因。这是浏览器下载的bug,建议用百度网盘软件或迅雷下载。若排除这种情况,可在对应资源底部留言,或 联络我们.。
    找不到素材资源介绍文章里的示例图片?
    对于PPT,KEY,Mockups,APP,网页模版等类型的素材,文章内用于介绍的图片通常并不包含在对应可供下载素材包内。这些相关商业图片需另外购买,且本站不负责(也没有办法)找到出处。 同样地一些字体文件也是这种情况,但部分素材会在素材包内有一份字体下载链接清单。
    源库坊
    一个高级程序员模板开发平台
    • 355会员总数(位)
    • 1195资源总数(个)
    • 0本周发布(个)
    • 0 今日发布(个)
    • 1576稳定运行(天)

    提供最优质的资源集合

    赞助本站svip 了解详情