El proveedor de sistemas de gestión de contenidos (CMS), WordPress, ha actualizado a la fuerza más de un millón de sitios para parchear una vulnerabilidad crítica que afecta al plugin Ninja Forms.
El fallo fue detectado por el equipo de inteligencia de amenazas de Wordfence en junio y documentado en un aviso de la compañía, el jueves último.
En el documento, Wordfence aseguró que la vulnerabilidad de inyección de código hacía posible que atacantes no autentificados llamaran a un número limitado de métodos en varias clases de Ninja Forms, incluyendo uno que resultaba en Inyección de Objeto.
«Determinamos que esto podría conducir a una variedad de cadenas de exploits debido a las diversas clases y funciones que contiene el plugin Ninja Forms», se lee en el post.
Los investigadores también dijeron que había pruebas que sugerían que la vulnerabilidad estaba siendo explotada activamente en la naturaleza.
Tras conocer el problema, WordPress lanzó un parche que se aplicó automáticamente a los sitios que ejecutaban las siguientes versiones del plugin: 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 y 3.6.11.
La compañía también indicó que actualizaría el texto del aviso a medida que aprendieran más sobre las cadenas de exploits que los atacantes están utilizando para aprovecharse de esta vulnerabilidad.
Ninja Forms no es el primer plugin popular de WordPress al que se le ha encontrado una vulnerabilidad crítica este año. En febrero, los investigadores encontraron un fallo en UpDraft Plus que afectaba a más de tres millones de sitios web.
Con información de Wwwhat´s New.