Se han dado a conocer detalles sobre una vulnerabilidad de seguridad de alta gravedad en el plugin Elementor Website Builder para WordPress que podría ser explotada por un atacante no autenticado para crear cuentas de administrador maliciosas y tomar el control de un sitio.
La vulnerabilidad de falsificación de solicitud en sitios cruzados (CSRF, por sus siglas en inglés), que aún no tiene identificador CVE, tiene una puntuación CVSS de 8.8 sobre 10.0. Solo afecta a las versiones 4.3.0 y 4.3.1 del plugin, que está activo en más de 10 millones de sitios WordPress. Según estadísticas de WordPress.org, las dos versiones impactadas suman más de 2 millones de instalaciones.
Un enlace, abierto por un usuario de WordPress con sesión iniciada, hace que ese usuario realice cualquier acción de la API REST que su cuenta tenga permitida. En una instalación estándar, un administrador que haga clic en el enlace crea una segunda cuenta de administrador para el atacante.
La empresa de seguridad de WordPress señaló que el ataque no requiere ningún requisito previo, como JavaScript, un formulario enviado o una página web bajo control del atacante. El enlace puede ser incluso una etiqueta de anclaje simple incrustada en un correo electrónico, un mensaje de chat o un comentario.
Tras la divulgación responsable, el problema se ha solucionado en la versión 4.3.2, publicada a principios de esta semana. Un investigador de seguridad conocido con el alias "Saggre" ha sido acreditado con el descubrimiento y reporte del fallo.
Patchstack indicó que la vulnerabilidad se origina porque el módulo Editor Events omite la protección CSRF para las solicitudes a la API REST autenticadas por cookies cada vez que la cadena literal "elementor/v1/events/" aparece en cualquier parte de la URI de la solicitud.
Dado que la URI de la solicitud incluye la cadena de consulta, y esta es escrita por quien compone el enlace, cualquier solicitud REST puede excluirse de esa protección añadiendo un parámetro de aspecto inofensivo.
La omisión se aplica a toda la superficie de la API REST de un sitio, incluidas las rutas del núcleo de WordPress y las de cualquier otro plugin instalado. Un atacante podría explotar esta brecha para crear una cuenta de administrador a través de "/wp/v2/users" utilizando una solicitud como la siguiente:
Debido a que las versiones de Elementor anteriores a la 4.3.0 no incluyen el proxy Editor Events, no se ven afectadas por la falla. Se recomienda a los usuarios del plugin aplicar la actualización más reciente lo antes posible para contrarrestar cualquier amenaza potencial.
Deja una respuesta