Falle di sicurezza in due plugin di moduli di contatto WordPress colpiscono oltre 1,1 milioni di utenti

Recentemente sono stati emessi avvisi riguardanti vulnerabilità scoperte in due dei plugin di modulo di contatto WordPress più popolari, che potenzialmente potrebbero interessare oltre 1,1 milioni di installazioni. Gli utenti sono invitati ad aggiornare i propri plugin alle versioni più recenti.

I plugin di modulo di contatto interessati sono Ninja Forms (con oltre 800.000 installazioni) e Contact Form Plugin di Fluent Forms (+300.000 installazioni). Le vulnerabilità non sono correlate tra loro e derivano da difetti di sicurezza separati.

Ninja Forms è interessato da un problema di mancata fuga di una URL che può portare a un attacco di scripting cross-site riflesso (reflected XSS) e la vulnerabilità di Fluent Forms è dovuta a una verifica di capacità insufficiente.

Il plugin Ninja Forms è a rischio di una vulnerabilità di scripting cross-site riflesso, che può consentire a un attaccante di mirare a un utente di livello amministrativo su un sito web per acquisire i relativi privilegi associati al sito. Richiede un passaggio ulteriore per ingannare un amministratore a cliccare su un link. Questa vulnerabilità è ancora in fase di valutazione e non è stata assegnata una valutazione del livello di minaccia CVSS.

Il plugin di modulo di contatto di Fluent Forms manca di una verifica di capacità che potrebbe portare a un’autorizzazione non autorizzata a modificare un’API (un’API è un ponte tra due diversi software che consente loro di comunicare tra loro).

Questa vulnerabilità richiede che un attaccante raggiunga prima l’autorizzazione di livello abbonato, che può essere ottenuta su siti WordPress che hanno la funzione di registrazione degli abbonati attivata ma non è possibile per quelli che non lo sono. A questa vulnerabilità è stata assegnata una valutazione del livello di minaccia medio di 4,2 (su una scala da 1 a 10).

Wordfence descrive questa vulnerabilità:

“Il plugin Contact Form di Fluent Forms per Quiz, Survey e Drag & Drop WP Form Builder per WordPress è vulnerabile all’aggiornamento non autorizzato della chiave API di Mailchimp a causa di una verifica di capacità insufficiente sulla funzione verifyRequest in tutte le versioni fino a, e comprese, 5.1.18.
Ciò rende possibile per i Gestori dei moduli con un accesso di livello abbonato e superiore modificare la chiave API di Mailchimp utilizzata per l’integrazione. Allo stesso tempo, la mancata validazione della chiave API di Mailchimp consente il reindirizzamento delle richieste di integrazione al server controllato dall’attaccante.”

Gli utenti di entrambi i moduli di contatto sono invitati ad aggiornare alle versioni più recenti di ciascun plugin di modulo di contatto. Il modulo di contatto di Fluent Forms è attualmente alla versione 5.2.0. L’ultima versione del plugin Ninja Forms è la 3.8.14.