Gebruikers van de populaire WordPress plugin Ninja Forms doen er verstandig aan om zo snel mogelijk te controleren welke versie zij gebruiken. Een beveiligingslek in de plugin wordt momenteel actief misbruikt om WordPress websites over te nemen.
Ninja Forms wordt op honderdduizenden WordPress websites gebruikt voor het maken van contactformulieren en andere formulieren.
Wat is er aan de hand?
In Ninja Forms is een zogenaamde Stored Cross Site Scripting kwetsbaarheid ontdekt. Een aanvaller kan via een formulier kwaadaardige code meesturen die vervolgens in WordPress wordt opgeslagen.
Het gevaarlijke is dat de code kan worden uitgevoerd zodra een ingelogde beheerder de betreffende inzending in het WordPress dashboard bekijkt. De aanvaller maakt daarbij gebruik van de rechten van de beheerder.
De kwetsbaarheid wordt aangeduid als CVE-2026-94504 en heeft een CVSS score van 7.1.
Wat kunnen aanvallers ermee doen?
Volgens beveiligingsonderzoekers van Patchstack gaat het niet alleen om het uitvoeren van wat JavaScript. Bij de aanvallen die inmiddels zijn waargenomen wordt geprobeerd om blijvende toegang tot de WordPress website te krijgen.
De gebruikte aanval kan onder andere:
- een kwaadaardige WordPress plugin installeren;
- een nieuw administratoraccount aanmaken;
- een verborgen administratoraccount aanmaken dat niet normaal zichtbaar is onder Gebruikers;
- een geheime loginmogelijkheid installeren;
- een bestandsbeheerder op de website plaatsen.
Dat verborgen administratoraccount maakt deze aanval extra vervelend. Alleen even onder Gebruikers → Alle gebruikers kijken is dus niet voldoende om vast te stellen dat een website schoon is.
Alleen updaten is niet altijd voldoende
Ninja Forms 3.15.4 bevat een oplossing voor de kwetsbaarheid die momenteel actief wordt misbruikt. Inmiddels is echter versie 3.15.5 beschikbaar, waarin ook een andere XSS kwetsbaarheid is opgelost.
Gebruik je Ninja Forms, dan zou ik daarom aanraden om direct te controleren of je versie 3.15.5 of nieuwer gebruikt.
Belangrijk: als een website al is aangevallen, verwijdert een update de eventuele achterdeur niet. Updaten voorkomt verdere misbruikpogingen via het gedichte lek, maar maakt een reeds geïnfecteerde WordPress installatie niet automatisch schoon.
Heb je een kwetsbare versie gebruikt, dan is het verstandig om ook te controleren op onbekende plugins, administratoraccounts en andere verdachte wijzigingen.
Ook een andere plugin wordt aangevallen
Dezelfde aanvallers blijken ook misbruik te maken van een kwetsbaarheid in WPC Product Bundles for WooCommerce. Daarbij wordt dezelfde kwaadaardige infrastructuur gebruikt.
Dit laat opnieuw zien waarom het belangrijk is om WordPress plugins actueel te houden. Vooral bij plugins die gegevens van bezoekers verwerken kan een kwetsbaarheid soms worden misbruikt zonder dat een aanvaller eerst een WordPress account nodig heeft.
Gebruik jij Ninja Forms op een van je WordPress websites? Controleer dan voor de zekerheid vandaag nog even welke versie er geïnstalleerd is.
Bron: BleepingComputer
https://www.bleepingcomputer.com/news/security/ninja-forms-plugin-flaw-exploited-to-hack-wordpress-sites/