PT-2021-15712 · WordPress · Ninja Forms Contact Form

Chloe Chamberland · Publicado 2021-04-05 · Atualizado 2021-04-09 · CVE-2021-24166

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.8

Média

Vetor base

AV:N/AC:M/Au:N/C:N/I:P/A:P

**Nome do software vulnerável e versões afetadas:

Ninja Forms Contact Form – O construtor de formulários com recurso de arrastar e soltar para o WordPress, versões anteriores à 3.4.34

Descrição:

O problema diz respeito à falta de proteção contra nonces na função wp ajax nf oauth disconnect, permitindo que invasores criem solicitações capazes de desconectar a conexão OAuth de um site.

Recomendações:

Para versões anteriores à 3.4.34, atualize para a versão 3.4.34 ou posterior para resolver o problema.

Exploit

Correção

CSRF

Enumeração de Fraquezas

CWE-352

Identificadores relacionados

CVE-2021-24166

Produtos afetados

Ninja Forms Contact Form

Referências · 4

• 🔥 https://wpscan.com/vulnerability/b531fb65-a8ff-4150-a9a1-2a62a3c00bd6 · Exploit
• https://wordfence.com/blog/2021/02/one-million-sites-affected-four-severe-vulnerabilities-patched-in-ninja-forms · Nota
• https://osv.dev/vulnerability/CVE-2021-24166 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-24166 · Nota de Segurança