Alcuni autori di minacce sconosciute stanno sfruttando attivamente una vulnerabilità di sicurezza recentemente risolta nel plugin per la creazione di siti web Elementor Pro per WordPress.
Il difetto, descritto come un caso di controllo di accesso non funzionante, ha un impatto sulle versioni 3.11.6 e precedenti. È stato risolto dai responsabili del plugin nella versione 3.11.7 rilasciata il 22 marzo.
“Miglioramento dell’applicazione della sicurezza del codice nei componenti WooCommerce”, afferma l’azienda con sede a Tel Aviv disse nelle sue note di rilascio. Il plugin premium è stimato da utilizzare su oltre 12 milioni di siti.
Lo sfruttamento riuscito di questa falla di elevata gravità consente a un aggressore autenticato di completare l’acquisizione di un sito WordPress con WooCommerce abilitato.
“Ciò consente a un utente malintenzionato di attivare la pagina di registrazione (se disabilitata) e di impostare il ruolo utente predefinito su amministratore in modo da poter creare un account che dispone immediatamente dei privilegi di amministratore”, Patchstack disse in un avviso del 30 marzo 2023.
“Dopodiché, è probabile che reindirizzino il sito a un altro dominio dannoso o carichino un plugin o una backdoor dannosi per sfruttare ulteriormente il sito.”
Accreditato con scoprire e segnalare la vulnerabilità il 18 marzo 2023 è il ricercatore di sicurezza di NinTechNet, Jerome Bruandet.
Patchstack ha inoltre osservato che la falla è attualmente sfruttata in modo improprio da diversi indirizzi IP che intendono caricare file di archivio PHP e ZIP arbitrari.
Si consiglia agli utenti del plugin Elementor Pro di eseguire l’aggiornamento alla versione più recente, la 3.11.7 o 3.12.0, il prima possibile per mitigare potenziali minacce.
L’avviso arriva più di un anno dopo l’ Componenti aggiuntivi essenziali per il plugin Elementor è stata riscontrata una vulnerabilità critica che potrebbe causare l’esecuzione di codice arbitrario su siti web compromessi.
La scorsa settimana, WordPress ha rilasciato aggiornamenti automatici per correggere un altro bug critico nel Plugin di pagamento WooCommerce che consentiva ad aggressori non autenticati di ottenere l’accesso come amministratore a siti vulnerabili.