Elementor 4.3.0 i 4.3.1: jeden link zakłada napastnikowi konto administratora

Elementor w wersjach 4.3.0 i 4.3.1 wyłącza w WordPressie ochronę przed atakiem CSRF dla zapytań do REST API. Według Patchstack wystarczy, że zalogowany administrator kliknie jeden link, a napastnik dostaje drugie konto administratora.

Link nie wymaga JavaScriptu, formularza ani strony pod kontrolą napastnika. Działa jako zwykły odnośnik w mailu, wiadomości na czacie albo komentarzu. Błąd siedzi w module Editor Events, który przekazuje telemetrię edytora. Ochrona znika, gdy w adresie zapytania pojawia się ciąg elementor/v1/events/, a ten da się dopisać do linku jako niewinnie wyglądający parametr. Lukę zgłosił do Patchstack badacz Saggre.

Kogo dotyczy

Wyłącznie stron z wtyczką Elementor Website Builder w wersjach 4.3.0 i 4.3.1, inne wydania nie są podatne. Patchstack mówi o ponad 2 mln stron. Otwarty link wykonuje każdą akcję REST API, do której ma uprawnienia konto zalogowanej osoby.