O vulnerabilitate de tip cross-site request forgery (CSRF) în Elementor, plugin WordPress activ pe aproximativ 10 milioane de site-uri, permite crearea de conturi de administrator fără autentificare.
Problema afectează versiunile 4.3.0 și 4.3.1 și a fost remediată în versiunea 4.3.2.
Potrivit Patchstack, o platformă de securitate pentru ecosistemul WordPress, exploatarea presupune ca un administrator autentificat să acceseze un link malițios, care poate fi transmis prin e-mail, într-un mesaj de chat sau într-un comentariu pe site.
Atacul nu are nevoie de JavaScript, de o pagină web controlată de atacator sau de trimiterea unui formular.
Exploatarea cu succes pe instalările cu configurație implicită rezultatul în crearea unui cont de administrator controlat de atacator.
Patchstack spune că problema se află în modulul Editor Events al Elementor. Acesta verifică URI-ul brut al cererii pentru calea elementor/v1/events/ și, atunci când șirul este prezent, ocolește validarea nonce-ului REST din WordPress.
Deoarece URI-ul include și parametrii de interogare, care pot fi controlați de atacator, șirul elementor/v1/events/ poate fi adăugat în cereri care vizează, de fapt, alte endpoint-uri REST. Astfel, protecția nonce poate fi evitată pentru cereri care nu au legătură cu modulul Editor Events.
Versiuni afectate și remediere
Vulnerabilitatea afectează doar versiunile 4.3.0 și 4.3.1, care în acest moment rulează pe aproximativ 2 milioane de site-uri, potrivit statisticilor WordPress.org.
Problema a fost descoperită de cercetătorul Sakri Koskimies (Saggre) și raportată prin Patchstack echipei Elementor pe 22 septembrie. Elementor a publicat patch-ul două zile mai târziu, în versiunea 4.3.2.
Versiunile anterioare lui 4.3.0 nu conțin modulul Editor Events. Totuși, potrivit Patchstack, acestea sunt afectate de alte vulnerabilități, dintre care unele sunt deja exploatate activ. Administratorilor li se recomandă actualizarea la versiunea 4.3.2.
