Хакери искористуваат критична ранливост во WordPress додатокот Ninja Forms

Објавено: 08.04.2026

Критична ранливост во премиум додатокот Ninja Forms File Uploads за WordPress овозможува прикачување на произволни датотеки без автентикација, што може да доведе до извршување на код од далечина.

Идентификувана како CVE-2026-0740, оваа ранливост моментално се користи во напади. Според компанијата за безбедност на WordPress, Defiant, нивниот Wordfence firewall блокирал повеќе од 3.600 напади во последните 24 часа.

Со над 600.000 преземања, Ninja Forms е популарен алат за креирање форми во WordPress кој им овозможува на корисниците да создаваат форми без програмирање, користејќи drag-and-drop интерфејс. Неговата екстензија за прикачување датотеки, која е дел од истиот пакет, ја користат околу 90.000 корисници. Со критична оценка од 9.8 од 10, ранливоста CVE-2026-0740 ги погодува верзиите на Ninja Forms File Upload до 3.3.26.

Според истражувачите од Wordfence, проблемот е предизвикан од недостаток на валидација на типот/екстензијата на датотеките во одредишното име, што му овозможува на неавтентициран напаѓач да прикачи произволни датотеки, вклучително и PHP скрипти, како и да манипулира со имињата на датотеките за да овозможи path traversal.

„Функцијата не вклучува никакви проверки на типот или екстензијата на датотеката во одредишното име пред операцијата на преместување во ранливата верзија,“ објаснува Wordfence.

„Ова значи дека не само што можат да се прикачуваат безбедни датотеки, туку е можно да се прикачат и датотеки со .php екстензија.“

„Бидејќи не се користи никаква санација (прочистување) на името на датотеката, злонамерниот параметар овозможува и path traversal, што дозволува датотеката да се премести дури и во webroot директориумот.“

„Ова овозможува неавтентицирани напаѓачи да прикачат произволен злонамерен PHP код и потоа да пристапат до датотеката за да активираат извршување на код од далечина на серверот.“

Потенцијалните последици од злоупотребата се сериозни, вклучувајќи поставување на web shell-ови и целосно преземање на контролата врз сајтот.

Откривање и поправки

Ранливоста е откриена од безбедносниот истражувач Селим Лануар (whattheslime), кој ја пријавил во програмата за награди за пронаоѓање багови на Wordfence на 8 јануари.

По валидацијата, Wordfence ги споделил сите детали со производителот истиот ден и обезбедил привремени мерки за заштита преку firewall правила за своите корисници.

По преглед на закрпите и делумна поправка на 10 февруари, производителот објавил целосна поправка во верзијата 3.3.27, достапна од 19 март.

Со оглед на тоа што Wordfence детектира илјадници обиди за експлоатација дневно, на корисниците на Ninja Forms File Upload силно им се препорачува итно да ја ажурираат алатката на најновата верзија.

Извори:

Bleeping Computer – Hackers exploit critical flaw in Ninja Forms WordPress plugin Bleeping Computer