Uma vulnerabilidade crítica foi descoberta no plugin Essential Addons for Elementor, que fornece aos proprietários de sites WordPress uma biblioteca com mais de 80 elementos e extensões. A falha pode resultar na execução de códigos arbitrários em sites comprometidos.
O Essential Addons for Elementor está presente em mais de um milhão de instalações. Com ele, os desenvolvedores conseguem criar uma gama de projetos e personalizações para páginas e postagens.
Leia também:
- Brecha de segurança no GoDaddy expõe dados de clientes WordPress
- SEO Poisoning: para disseminar Ransomware, cibercriminosos estão “envenenando” a busca do Google
- Log4Shell – principais agências de segurança cibernética do mundo alertam sobre ameaças da vulnerabilidade
“Esta vulnerabilidade permite que qualquer usuário, independentemente de sua autenticação ou status de autorização, execute um ataque de inclusão de arquivo local”, informa um relatório da Patchstack. O pesquisador Wai Yan Myo Thet foi o responsável pela descoberta da vulnerabilidade no plugin.
“Este ataque pode ser usado para incluir arquivos locais no sistema de arquivos do site, como /etc/passwd. Isso também pode ser usado para execuções remotas de controle (RCE) incluindo um arquivo com código PHP malicioso que normalmente não pode ser executado”.
Vulnerabilidade corrigida, mas ainda há muitos vulneráveis
Dito isso, a vulnerabilidade só existe se forem usados widgets como galeria dinâmica e galeria de produtos, que utilizam a função vulnerável, resultando na inclusão de arquivos locais – uma técnica de ataque na qual um aplicativo da web é induzido a expor ou executar arquivos arbitrários no servidor da web.
A falha afeta da versão 5.0.4 para baixo do Essentials Addons for Elementor. Após a divulgação da vulnerabilidade, ela foi finalmente corrigida na versão 5.0.5, lançada em 28 de janeiro. No momento, cerca de 400 mil sites atualizaram o plugin, o que significa que cerca de 600 mil ainda estão vulneráveis.
Aqueles que executam o plugin em seus sites WordPress têm duas maneiras de corrigir o problema: baixando a versão mais recente (aqui) ou indo para o painel do WordPress e acionando a atualização diretamente de lá. Os webmasters que executam sites WordPress são aconselhados a manter todos os seus complementos atualizados o tempo todo, para reduzir ao mínimo o risco de ataques.
Já assistiu aos novos vídeos no YouTube do Olhar Digital? Inscreva-se no canal!
Imagem: TheDigitalArtist/Pixabay/CC
Tags: