Elementor Website Builder WordPress eklentisinde yüksek şiddetli bir güvenlik açığı hakkında detaylar ortaya çıktı. Bu açık, kimliği doğrulanmamış bir saldırganın sahte yönetici hesapları oluşturarak siteyi ele geçirmesine olanak tanıyabilir.
Henüz bir CVE tanımlayıcısı atanmamış olan çapraz site istek sahteciliği açığı, CVSS puanı 8,8/10,0 taşıyor. Açık yalnızca eklentinin 4.3.0 ve 4.3.1 sürümlerini etkiliyor ve eklenti 10 milyondan fazla WordPress sitesinde aktif. WordPress.org istatistikleri, etkilenen iki sürümün tek başına 2 milyondan fazla siteye kurulduğunu gösteriyor.
Patchstack belirtti: "Oturum açmış bir WordPress kullanıcısının açtığı tek bir bağlantı, kullanıcının hesabının yapmasına izin verilen herhangi bir REST API işlemini gerçekleştirmesine neden olur." "Varsayılan kurulumda, bağlantıya tıklayan bir yönetici saldırgan için ikinci bir yönetici hesabı oluşturur."
WordPress güvenlik şirketi, saldırının JavaScript, gönderilen bir form veya tehdit aktörünün kontrolündeki bir web sayfası gibi herhangi bir ön koşula bağlı olmadığını açıkladı. Bağlantı, bir e-postaya, sohbet mesajına veya yoruma gömülü düz bir bağlantı etiketi bile olabilir.
Sorumlu açıklama sonrasında sorun, bu hafta önce yayınlanan 4.3.2 sürümünde giderildi. Açığı keşfedip bildiren kişi, "Saggre" takma adını kullanan bir güvenlik araştırmacısı olarak kayıtlara geçti.
Patchstack, açığın Editor Events modülünün, istek URI'sinde her yerde "elementor/v1/events/" dizgesi göründüğünde çerezle doğrulanmış REST API istekleri için CSRF korumasını atlamasından kaynaklandığını söyledi.
"İstek URI'si sorgu dizgisini içerdiğinden ve sorgu dizgisini bağlantıyı oluşturan kişi yazdığından, herhangi bir REST isteği zararsız görünen bir parametre ekleyerek kendini bu korumadan muaf tutabilir" diye ekledi.
Bypass, sitenin tüm REST API yüzeyine uygulanıyor; bu WordPress çekirdek rotalarını ve üzerinde kurulu her diğer eklentinin rotalarını kapsıyor. Bir saldırgan bu açığı kullanarak "/wp/v2/users" üzerinden yönetici hesabı oluşturabilir.
&password=...
Elementor'un 4.3.0 öncesi sürümleri Editor Events proxy'sini taşımadığından bu açıktan etkilenmiyor. Eklenti kullanıcılarının olası tehditlere karşı en kısa sürede en güncel güncellemeyi uygulamaları öneriliyor.
