A hackerek egy népszerű WordPress-bővítményen át törnek be

A Ninja Forms fájlfeltöltő bővítményében súlyos biztonsági résre bukkantak, amely lehetővé teszi a jogosulatlan fájlok feltöltését, végső soron pedig a távoli kódvégrehajtást egy WordPress-oldalon. Bár a fejlesztők általában kiemelten kezelik az ilyen sebezhetőségeket, a Ninja Forms File Upload 3.3.26-os és korábbi verziói védtelenek maradtak.

Komoly sebezhetőség, tömeges támadások

A réseket a WordPress-biztonsági vállalat, a Defiant kutatói azonosították. Sőt, a Wordfence tűzfala már az elmúlt 24 órában is több ezer támadási kísérletet blokkolt. A Ninja Forms bővítmény világszerte rendkívül népszerű, hiszen kódolási tudás nélkül is drag-and-drop felületen lehet űrlapokat készíteni.

A CVE-2026-0740 kódjelű sérülékenység kritikus, 9,8-as súlyossági értéket kapott. A probléma lényege, hogy a feltöltött fájlok típusát és kiterjesztését nem ellenőrzi a rendszer, így egy támadó akár PHP-szkripteket is feltölthet, és a fájlnevet manipulálva a weboldal gyökérkönyvtárába juttathatja azokat, lehetővé téve webshellek telepítését vagy a rendszer átvételét.

Gyors frissítés kötelező

Slim Lanouar (whattheslime) biztonsági kutató fedezte fel a hibát, és január 8-án jelezte azt a fejlesztőknek a Wordfence hibavadász programján keresztül. Ideiglenes védelmi szabályokat már elérhetővé tettek a felhasználóknak, a teljes javítás azonban csak március 19-én, a 3.3.27-es verzió megjelenésével vált véglegessé.

A folyamatos támadások miatt sürgősen ajánlott minden Ninja Forms File Upload bővítményt használó oldalnak frissíteni a legújabb kiadásra, ezzel megelőzve az oldal teljes elvesztését vagy feltörését.

2026, adrienne, www.bleepingcomputer.com alapján