CVE-2024-3866

WordPress üçün olan Ninja Forms Contact Form plagini, giriş məlumatlarının kifayət qədər təmizlənməməsi və çıxışın düzgün şəkildə filtirlənməməsi səbəbindən 3.8.15 daxil olmaqla bütün versiyalarda 'Referer' başlığı vasitəsilə Reflected Self-Based Cross-Site Scripting zəifliyinə malikdir. Bu, autentifikasiya olunmamış hücumçuların istifadəçini linkə klikləmək kimi bir hərəkət etməyə sövq edə bildiyi təqdirdə, icra olunan səhifələrə ixtiyari veb skriptlər yerləşdirməsini mümkün edir. Bu zəifliyin uğurlu istismarı üçün hədəf formda "maintenance mode"-un aktiv olması tələb olunur. Lakin, bu rejimi aktivləşdirmək üçün hücumçu və ya hətta administrator səviyyəli istifadəçi üçün heç bir tənzimləmə mövcud deyil. Bu rejim yalnız vacib yeniləmə zamanı aktiv olur ki, bu da çox qısa müddətli bir vaxt kəsiyidir. Əlavə olaraq, bu zəifliyin özünə əsaslanan (self-based) xüsusiyyətinə görə, hücumçular təqdim edilmiş faydalı yükü (payload) hədəf istifadəçinin kontekstində icra etmək üçün əlavə texnikalardan istifadə etməli olacaqdırlar.