Erhebliche Sicherheitslücke im Wordpress-Plugin „Ninja Forms“

Worum geht es?

„Ninja Forms“ ist ein kostenloses Plugin für das Blogsystem „WordPress“ zum einfachen Erstellen von Kontaktformularen. Weltweit nutzen es mehr als eine Million Websites (Link zum Plugin).

Am 20. Januar 2021 entdeckte das Team von Wordfence (ein WordPress-Sicherheitsanbieter) vier erhebliche Sicherheitslücken im Programmcode von Ninja Forms. Daraufhin veröffentlichte der Hersteller am 8. Februar eine Patch-Version und schloss damit die Sicherheitslücken.

 

Was muss ich tun?

Nutzen Sie Ninja Forms? Dann empfehlen wir Ihnen dringend das Update auf mindestens Version 3.4.34.1.
Als zusätzlichen Sicherheitsfaktor können Sie ein Sicherheits-Plugin wie beispielsweise Wordfence in Ihrem System installieren.
Benötigen Sie Unterstützung für das Update, oder sind Sie sich unsicher, ob Ihre Website das Plugin verwendet? Fragen Sie uns – wir helfen Ihnen gerne.

 

Was kann passieren?

Alle Versionen von Ninja Forms unter 3.4.34.1 enthalten die Sicherheitslücken und gefährden die eigene Website enorm. Potenzielle Angreifer können die Sicherheitslücken wir folgt ausnutzen:

  • Seiten-Administratoren nach der Anmeldung im Backend auf willkürliche / schädliche Domains weiterleiten
  • Den gesamten Mailverkehr der Seite anzapfen, umleiten oder unterbrechen
  • Eine Verbindung zum Ninja Forms Central Management Dashboard herstellen und dort auf alle Daten zugreifen
  • Die Verbindung zwischen Ninja Forms und der Website trennen und das Plugin unbrauchbar machen
  • Account-Passwörter ändern und so die volle Kontrolle über die Seite übernehmen
  • Installation kostenpflichtiger Plugins und Malware

Weitere Informationen

Den vollständigen Artikel zu den Sicherheitsproblemen mit ausführlichen technischen Erklärungen finden Sie hier auf der Website von Wordfence:

https://www.wordfence.com/blog/2021/02/one-million-sites-affected-four-severe-vulnerabilities-patched-in-ninja-forms/

(Bild von vectorjuce auf freepik.com)