Тут всплыла неприятная история с Ninja Forms, нашли дыру в модуле загрузки файлов, через которую можно закинуть что угодно на сервер без авторизации, и дальше уже дело техники.

Суть максимально простая, проверка типа файла есть, а вот имя и путь нормально не фильтруются, за счет этого можно подсунуть файл так, чтобы он оказался где нужно, дальше запускается и привет.

Оценка почти максимальная, 9.8, то есть это не мелкая история, а нормальный такой проход к сайту, причем без логина и пароля.

После загрузки уже стандартный набор, выполнение кода, доступ к базе, редиректы, кто как использует, и все это автоматизируется без проблем.

Закрыли вроде в последних версиях, но вопрос в другом, сколько сайтов до сих пор сидит на старых сборках, особенно если плагин ставился давно и не трогался.
И как обычно. Пока все не прогонят сканеры, часть сайтов уже могут лежать с чужим кодом, просто владельцы еще не заметили.

У кого на проектах стоит Ninja Forms, проверяли версии или пока без движений?