Puerta de inseguridad de WordPress Ninja Forms descubierta en mucho más de un millón de websites

El día de hoy se descubrió que el habitual formulario de contacto de WordPress llamado Ninja Forms ha parcheado 2 inseguridades que afectan a mucho más de 1 millón de instalaciones de WordPress. Esta es otra en una lista creciente de inseguridades similares con la Interfaz de programación de aplicaciones REST descubiertas en varios complementos de WordPress.

Debe reiterarse que no hay nada de malo con la Interfaz de programación de aplicaciones REST de WordPress en sí. Los inconvenientes brotan de de qué forma los complementos de WordPress diseñan sus relaciones con la Interfaz de programación de aplicaciones REST.

API REST de WordPress

La Interfaz de programación de aplicaciones REST de WordPress es una plataforma de trabajo que deja que los complementos interaccionen con el núcleo de WordPress. La Interfaz de programación de aplicaciones REST deja que los complementos, temas y otras apps manipulen el contenido de WordPress y creen funciones interactivas.

Esta tecnología amplía las opciones del núcleo de WordPress.

El núcleo de WordPress recibe datos de los complementos por medio de el diseño API REST para activar estas novedosas vivencias.

No obstante, de la misma con cualquier otra interacción que deja cargar o entrar datos, es esencial "adecentar" lo que se ingresa y quién puede ingresarlo para cerciorarse de que los datos sean los aguardados y se estima que se reciban.

No adecentar las entradas y limitar quién puede entrar los datos puede producir inseguridades de seguridad.

Y eso es precisamente lo que pasó aquí.

Puerta de inseguridad de restauración de permisos

Ámbas inseguridades fueron el resultado de un solo inconveniente de validación de la Interfaz de programación de aplicaciones REST, especialmente en las devoluciones de llamada de autorización.

La restauración de privilegios es una parte del desarrollo de autenticación que limita el ingreso a los puntos finales de la Interfaz de programación de aplicaciones REST a los clientes autorizados.

La documentación oficial de WordPress detalla un punto y final como una función:

“Los puntos finales son funcionalidades que están libres mediante la Interfaz de programación de aplicaciones. Esto puede ser, por poner un ejemplo, recobrar el índice de la Interfaz de programación de aplicaciones, actualizar una publicación o remover un comentario. Los puntos finales efectúan una función concreta, admiten una secuencia de factores y devuelven datos al cliente ".

Según la documentación de la Interfaz de programación de aplicaciones REST de WordPress:

“Las devoluciones de llamada de privilegios son increíblemente esenciales para la seguridad con la Interfaz de programación de aplicaciones REST de WordPress.

Si tiene datos privados que no quiere que se hagan ver públicamente, va a deber registrar devoluciones de llamada de permiso para sus plataformas ".

2 inseguridades de WordPress Ninja Forms

Había 2 inseguridades, las dos similares con un fallo de devolución de llamada de privilegios de implementación.

No hay nada de malo con la Interfaz de programación de aplicaciones REST de WordPress en sí, pero la manera en que los desarrolladores de complementos la incorporan puede crear problemas.

Estos son los 2 puntos enclenques:

• Divulgación de información sensible
• API REST desamparada para inyección de e-mail

Puerta de inseguridad de divulgación de información confidencial

La puerta de inseguridad de divulgación de información confidencial dejó que cualquiera de los individuos registrado, aun un suscriptor, exportara todos y cada uno de los formularios mandados al página web. Esto incluye cualquier información confidencial que alguien logre haber enviado.

Ninja Forms tenía una devolución de llamada de privilegios que comprobaba que un usuario estuviese registrado, pero no comprobaba que el usuario tuviese el nivel de privilegio preciso para exportar de manera masiva todos y cada uno de los formularios mandados a través del complemento Ninja Forms de WordPress.

Esta falta de verificación del nivel de permisos del usuario dejó a cualquiera de los individuos registrado, incluyendo un suscriptor del cibersitio, exportar de manera masiva todos y cada uno de los formularios mandados.

La Interfaz de programación de aplicaciones REST desamparada para inyección de e-mail

Esta puerta de inseguridad resultó de exactamente la misma restauración de privilegios errónea que no ha podido contrastar el nivel de permisos del agresor registrado. La puerta de inseguridad aprovechó una función de Ninja Forms que deja a los editores de websites mandar alertas masivas por correo o confirmaciones por correo en contestación a los envíos de formularios.

La puerta de inseguridad de inyección de mail dejó a un agresor emplear esta función especial de Ninja Forms para mandar e-mails desde el sitio vulnerable a cualquier dirección de mail.

Esta puerta de inseguridad particularmente tenía el potencial de publicar una campaña completa de adquisición o phishing del página web contra los clientes del servicio de un portal de internet.

Según los estudiosos de seguridad de Wordfence que descubrieron la puerta de inseguridad:

“Esta puerta de inseguridad podría aprovecharse de forma fácil para hacer una campaña de phishing que podría mentir a los individuos desprevenidos a fin de que tomen acciones indeseables al abusar de la seguridad en el dominio que se empleó para mandar el mail.

Además de esto, se podría emplear un ataque de spear phishing mucho más dirigido para mentir al dueño de un portal de internet y hacerle meditar que un e-mail procede de su cibersitio.

Esto podría emplearse para mentir a un gestor a fin de que ingrese su contraseña en una página de comienzo de sesión falsa, o para dejar que un agresor explote una segunda falla de seguridad que necesita ingeniería popular, como B. Falsificación de peticiones entre sitios o secuencias de comandos entre sitios, que podrían usarse para hacerse cargo ".

Se aconseja una actualización instantánea a Ninja Forms

Los estudiosos de seguridad aconsejan a Wordfence a los individuos del complemento WordPress Ninja Forms que actualicen su complemento inmediatamente.

La puerta de inseguridad se clasifica como de peligro medio y se califica con 6.5 en una escala del 1 al 10.

Citas

Lea el aviso de Wordfence:

Los orificios de seguridad últimamente reparados en el complemento Ninja Forms afectan a mucho más de 1 millón de dueños de websites

Registro de cambios de formulario Ninja oficial