Уязвимост от тип фалшифициране на междусайтови заявки (CSRF) в плъгина Elementor за WordPress би могла да позволи на неудостоверен атакуващ да създаде администраторски акаунти.
Киберпрестъпниците могат да експлоатират уязвимостта, като подмамят влязъл в системата администратор да отвори зловредна връзка, което кара автентикираната сесия на жертвата да изпълни REST API действие, позволено от нейния акаунт.
При инсталации по подразбиране резултатът е създаването на администраторски акаунт под контрола на атакуващия.
Elementor Website Builder е популярен плъгин за WordPress, активен на 10 милиона уебсайта, който позволява на потребителите да създават уебсайтове чрез интерфейс с плъзгане и пускане (drag-and-drop).
CSRF уязвимостта все още няма присвоен идентификатор и засяга само версии 4.3.0 и 4.3.1. Според статистика от WordPress.org двете версии се използват от до 2 милиона сайта.
Фирмата за киберсигурност Patchstack съобщи за уязвимостта на екипа на Elementor на 22 септември, след като я получи от изследователя на грешки „Saggre“. Elementor издаде корекция два дни по-късно във версия 4.3.2 на плъгина.
Според анализа на Patchstack CSRF уязвимостта е причинена от това, че модулът Editor Events на Elementor проверява суровия URI на заявката за пътя elementor/v1/events/ и заобикаля валидацията на REST nonce на WordPress, когато този низ присъства.
Тъй като URI съдържа и параметри на заявката, контролирани от атакуващия, той може да добави пътя към заявки, насочени към други REST крайни точки, и да подмами влезлите потребители да ги изпълнят с техните съществуващи права.
От Patchstack посочват, че уязвимостта може да бъде злоупотребена при атаки с едно щракване срещу влязъл в системата администратор, за да се създаде нов администраторски акаунт, контролиран от киберпрестъпника.
„Една връзка, отворена от влязъл в системата потребител на WordPress, кара този потребител да извърши всяко REST API действие, което акаунтът му има право да изпълни“, обясняват от Patchstack.
Фирмата за сигурност допълва, че атаката не изисква JavaScript, страница под контрола на атакуващия или изпратена форма, а връзката може да бъде доставена до целта чрез имейл, съобщение в чат или коментар в сайта.
Версиите на Elementor преди 4.3.0 не съдържат засегнатото прокси Editor Events, но тези по-стари версии са уязвими за други пролуки, някои от които вече активно се експлоатират.
На потребителите на плъгина се препоръчва да обновят до версия 4.3.2 на Elementor възможно най-скоро, което предотвратява възможността атакуващите да задействат заобикалянето чрез низа на заявката.