W popularnym wtyczce Elementor Website Builder odkryto krytyczną podatność typu Cross-Site-Request-Forgery (CSRF) o wysokiej ocenie CVSS 8.8. Problem dotyczy wersji 4.3.0 oraz 4.3.1 i pozwala atakującemu na utworzenie nowego konta z uprawnieniami administratora. Do przeprowadzenia ataku wystarczy, aby zalogowany administrator kliknął w przygotowany przez przestępcę złośliwy link.
Błąd wynika z nieprawidłowej implementacji mechanizmu pomijającego weryfikację tokenów CSRF w module Editor Events. Deweloperzy stworzyli regułę, która wyłączała sprawdzanie tokena, jeśli w adresie URL pojawił się konkretny ciąg znaków. Ponieważ weryfikacja obejmowała całe zapytanie wraz z parametrami, atakujący mogli manipulować adresem tak, aby obejść zabezpieczenia i wykonać dowolne żądanie w interfejsie REST API.
Co istotne, eksploit nie wymaga znajomości JavaScript ani zewnętrznej infrastruktury atakującego. Wykorzystuje on natywny mechanizm WordPressa, który pozwala na nadpisanie metody HTTP za pomocą parametru method, zamieniając zwykłe żądanie GET w POST. Dzięki temu cały atak sprowadza się do pojedynczego odnośnika URL.
Twórcy Elementora opublikowali już poprawkę, która wprowadza bardziej rygorystyczną weryfikację ścieżek i zabezpiecza przed wstrzykiwaniem złośliwych ciągów w parametrach zapytania. Problem dotyczy milionów stron korzystających z tego narzędzia, dlatego zalecana jest natychmiastowa aktualizacja.
