Vulnerabilidad de ejecución remota de código para el complemento de WordPress Elementor

Se ha descubierto una vulnerabilidad en Elementor, a partir de la versión 3.6.0, que permite a un atacante cargar código arbitrario y organizar una descarga completa del sitio. La falla fue introducida por la falta de políticas de seguridad adecuadas en una nueva función experta de «Incorporación».

Falta de controles de capacidad

La falla en Elementor estaba relacionada con lo que se conoce como Verificaciones de capacidad.

Una verificación de capacidad es un nivel de seguridad que todos los fabricantes de complementos deben codificar. Lo que hace la verificación de capacidad es verificar el nivel de permiso de cualquier usuario que haya iniciado sesión.

Por ejemplo, una persona con permiso de nivel de suscriptor puede publicar comentarios en artículos, pero no tendrá los niveles de permiso que le permitan acceder a la pantalla de edición de WordPress para publicar en el sitio.

Las funciones de usuario pueden ser administrador, publicador, suscriptor, etc. Cada nivel contiene las capacidades de usuario asignadas a cada función de usuario.

Cuando un complemento ejecuta código, debe verificar si el usuario tiene la capacidad suficiente para ejecutar ese código.

WordPress ha publicado un manual de complementos que aborda específicamente este importante control de seguridad.

el capitulo se llama Verificación de las habilidades del usuario. y destaca lo que los fabricantes de complementos deben saber sobre este tipo de control de seguridad.

El manual de WordPress recomienda:

«Verificación de las habilidades del usuario.

Si su complemento permite a los usuarios enviar datos, independientemente de si se trata del administrador o del lado público, debe verificar las Características del usuario.

… El paso más importante para crear un nivel de seguridad efectivo es tener un sistema de permisos de usuario. WordPress ofrece esto en forma de funciones y funciones de usuario. «

Elementor versión 3.6.0 introdujo un nuevo módulo (módulo de incorporación) que no incluía controles de capacidad.

Entonces, el problema con Elementor no es que los piratas informáticos fueran inteligentes y encontraran una manera de descargar completamente los sitios web basados ​​en Elementor.

La operación en Elementor se debió a la falta de uso de controles de capacidad donde fue necesario.

Según el informe publicado por Wordfence:

«Desafortunadamente, no se utilizaron comprobaciones de capacidad en las versiones vulnerables.

Un atacante podría crear un zip falso malicioso del complemento «Elementor Pro» y usar esta función para instalarlo.

Ejecutaría cualquier código presente en el complemento falso, que podría usarse para controlar el sitio o acceder a recursos adicionales del servidor. «

Acción sugerida

La vulnerabilidad se introdujo en Elementor versión 3.6.0 y, por lo tanto, no existe en versiones anteriores.

Wordfence recomienda que los editores actualicen a la versión 3.6.3.

Sin embargo, el oficial Registro de cambios de Elementor establece que la versión 3.6.4 resuelve los problemas de higiene relacionados con el módulo Onboarding Expert afectado.

Entonces, probablemente sea una buena idea actualizar a Elementor 3.6.4.

Pantalla de registro de cambios del complemento de WordPress Elementor

Cita

Lea el informe de Wordfence sobre la vulnerabilidad de Elementor

Vulnerabilidad crítica a la ejecución remota de código en Elementor