Вразливість Insecure Direct Object Reference у Ninja Forms для WordPress

Що відомо

Плагін Ninja Forms для WordPress має вразливість Insecure Direct Object Reference у версіях до 3.13.2 включно, що дозволяє неавторизованим користувачам отримувати доступ до метаданих форм та записів відправлень через REST API при наявності витоку токена. Попередній патч виявився неефективним через помилку, що дозволяє створювати дійсні токени для довільних форм.

Бізнес-вплив

Ця вразливість може призвести до витоку конфіденційної інформації, що зберігається у формах і їх відправленнях, що негативно впливає на довіру користувачів і може порушити вимоги щодо захисту даних. Для власників сайтів на WordPress із встановленим Ninja Forms це означає підвищений ризик несанкціонованого доступу до даних без необхідної автентифікації.

Рекомендовані дії адміністратора

Адміністраторам рекомендується негайно перевірити наявність оновлень плагіна від розробника та застосувати їх, якщо вони доступні. Також слід обмежити доступ до сторінок із блоком Submissions Table, переглянути журнали доступу на предмет підозрілої активності та розглянути можливість тимчасового відключення плагіна до виправлення проблеми.

Джерела

• NVD
• Reference
• Reference