Ninja Forms – The Contact Form Builder That Grows With You: wgranie dowolnego pliku
Ninja Forms – The Contact Form Builder That Grows With You
Wgranie dowolnego pliku w komponencie Ninja Forms – The Contact Form Builder That Grows With You. Ocena zagrożenia: Wysoka (CVSS 7.2). Zaktualizuj podatny komponent do najnowszej wersji lub tymczasowo go wyłącz.
Kogo dotyczy
Podatność dotyczy: Ninja Forms – The Contact Form Builder That Grows With You. Jeśli korzystasz z tego komponentu na swojej stronie, sprawdź wersję i zaktualizuj go jak najszybciej.
Jak groźne
Ocena: Wysoka, CVSS 7.2 w skali 0-10. Warto zareagować, zanim luka zostanie wykorzystana.
Na czym polega ta luka
Wgranie dowolnego pliku pozwala napastnikowi umieścić na serwerze własny plik, najczęściej skrypt PHP (tzw. web shell), który daje mu zdalną kontrolę nad stroną.
To prosta droga od pojedynczej luki do pełnego przejęcia witryny i utrzymania w niej ukrytego, trwałego dostępu.
Rozbiór oceny (wektor CVSS)
Co ocena CVSS 7.2 oznacza w praktyce:
- Atak można przeprowadzić zdalnie, przez internet.
- Nie wymaga logowania ani żadnego konta.
- Nie wymaga żadnego działania ze strony ofiary.
- Skutki mogą wykroczyć poza sam podatny komponent.
- Zagrożone: poufność danych, integralność (możliwość zmiany danych).
Klasa słabości: CWE-79.
Co zrobić
- Zaktualizuj podatny komponent (Ninja Forms – The Contact Form Builder That Grows With You) do najnowszej wersji.
- Jeśli poprawka jeszcze nie wyszła, tymczasowo wyłącz podatny element.
- Sprawdź, czy strona nie została już zaatakowana: nietypowe pliki, nowe konta administratorów, przekierowania.
- Zrób kopię zapasową, zanim zaczniesz wprowadzać zmiany.
Czy ta luka dotyczy Twojej strony?
Zrobimy bezpłatny audyt: sprawdzimy wersje, wtyczki i konfigurację, i powiemy wprost, czy jesteś bezpieczny.
Zamów bezpłatny audyt →