یک آسیب‌پذیری امنیتی با شناسه CVE-2026-91827 در افزونه Ninja Forms نسخه 3.15.3 وردپرس شناسایی شده است. این نقص امنیتی از نوع PHP Object Injection است و به مهاجمان اجازه می‌دهد تا بدون نیاز به احراز هویت (Unauthenticated)، مقادیر سریال‌سازی شده (Serialized Payloads) را از طریق فیلدهای فرم ارسال کنند.
تحلیل فنی مکانیسم حمله
این آسیب‌پذیری زمانی فعال می‌شود که یک مدیر (Administrator) اقدام به استخراج داده‌های ارسالی فرم‌ها به صورت فایل CSV نماید. در این مرحله، مقادیر مخرب ارسال شده توسط کاربر توسط سیستم Deserialized شده و در صورت وجود یک زنجیره POP chain مناسب در سایر افزونه‌ها یا قالب‌های نصب شده، می‌تواند منجر به عملیات‌های غیرمجاز روی فایل‌ها یا اجرای کد از راه دور (RCE) شود.
ارزیابی ریسک و پیش‌نیازها
- سطح دسترسی: مهاجم نیازی به حساب کاربری ندارد (PR:N).
- پیچیدگی حمله: سطح پیچیدگی بالا (AC:H) است، زیرا اجرای کامل حمله مستلزم وجود یک زنجیره POP در محیط هدف است.
- تعامل کاربر: نیاز به تعامل مدیر (UI:R) برای اجرای عملیات Export CSV دارد.
- تاثیر: در صورت تکمیل زنجیره حمله، تاثیر بر روی محرمانگی، یکپارچگی و در دسترس بودن (C/I/A) در سطح بالا (High) است.
توصیه‌های امنیتی و اقدامات اصلاحی
برای کاهش ریسک در محیط‌های سازمانی، اقدامات زیر توصیه می‌شود:
- شناسایی سریع تمامی سایت‌های وردپرسی که از نسخه 3.15.3 افزونه Ninja Forms استفاده می‌کنند.
- محدود کردن دسترسی‌های مدیریتی تنها به پرسنل مورد اعتماد.
- غیرفعال‌سازی موقت قابلیت CSV Export یا توقف فعالیت افزونه تا زمان انتشار به‌روزرسانی.
- پیاده‌سازی قوانین WAF (دیوار آتش اپلیکیشن وب) برای شناسایی و مسدود کردن Payloadهای سریال‌سازی شده در درخواست‌های ارسالی به فرم‌ها.
