CVE-2021-24163

**Nome do software vulnerável e versões afetadas:

SendWP Ninja Forms Contact Form – O construtor de formulários com recurso de arrastar e soltar para o WordPress, versões anteriores à 3.4.34

Descrição:

O problema decorre da falta de verificações de permissão e proteção por nonce na ação AJAX wp ajax ninja forms sendwp remote install handler. Isso permite que usuários de nível baixo, como assinantes, instalem e ativem o plugin, além de recuperarem a chave client secret necessária para estabelecer a conexão com o SendWP.

Recomendações:

Para versões anteriores à 3.4.34, atualize para a versão 3.4.34 ou posterior para resolver o problema.

Como solução temporária, considere desativar a ação AJAX wp ajax ninja forms sendwp remote install handler até que um patch esteja disponível.

Restrinja o acesso à chave client secret para minimizar o risco de exploração.