Plus de 2 millions de sites WordPress touchés par des modules complémentaires essentiels pour la vulnérabilité Elementor

Des chercheurs en sécurité ont publié un avis sur le populaire plugin WordPress Essential Addons For Elementor qui contient une vulnérabilité de Stored Cross-Site Scripting affectant plus de 2 millions de sites Web. Des failles dans deux widgets différents qui font partie du plugin sont responsables des vulnérabilités.

Deux widgets qui conduisent à des vulnérabilités

  1. Widget de compte à rebours
  2. Widget carrousel de produits Woo

Modules complémentaires essentiels pour Elementor

Essential Addons est un plugin qui étend le populaire constructeur de pages Elementor WordPress. Elementor permet à quiconque de créer facilement des sites Web et les Essential Addons permettent d'ajouter encore plus de fonctionnalités et de widgets de sites Web.

La vulnérabilité

L'avis de Wordfence annonçait que le plugin contenait une vulnérabilité XSS (Stored Cross-Site Scripting) qui permet à un attaquant de télécharger un script malveillant et d'attaquer les navigateurs des visiteurs du site Web, ce qui peut lui-même conduire au vol de cookies de session afin de prendre le contrôle du site Web.. Les vulnérabilités XSS sont parmi les plus courantes et résultent d'un échec de nettoyage correct (écran ou filtre) des champs qui acceptent des entrées telles que du texte ou des images. Les plugins « nettoient » généralement les entrées, ce qui signifie qu’ils filtrent les entrées indésirables telles que les scripts. Une autre faille qui crée une vulnérabilité XSS est l'incapacité à « échapper à la sortie », ce qui signifie supprimer toute sortie contenant des données indésirables afin de l'empêcher d'atteindre un navigateur. Wordfence cite ces deux failles comme facteurs ayant conduit à ces vulnérabilités.

Ils ont mis en garde contre le widget de compte à rebours  :

«Le plugin Essential Addons for Elementor – Best Elementor Templates, Widgets, Kits & WooCommerce Builders pour WordPress est vulnérable aux scripts intersites stockés via le paramètre de message du widget de compte à rebours dans toutes les versions jusqu'à et y compris 5.9.11 en raison d'une saisie insuffisante. désinfection et sortie d'évasion. Cela permet aux attaquants authentifiés, avec un accès contributeur ou supérieur, d'injecter des scripts Web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée.

L'avertissement concernant le widget Woo Product Carousel  :

«Le plugin Essential Addons for Elementor… pour WordPress est vulnérable aux scripts intersites stockés via le paramètre d'alignement dans le widget Woo Product Carousel dans toutes les versions jusqu'à la 5.9.10 incluse en raison d'une désinfection insuffisante des entrées et de l'échappement des sorties. « 

Voir également:

Attaquants authentifiés

Ce que l'on entend par l'expression « attaquants authentifiés » est qu'un pirate informatique doit d'abord acquérir les informations d'identification du site Web afin de lancer l'attaque. La vulnérabilité Essential Addons for Elementor nécessite qu’un attaquant dispose d’un niveau d’accès de contributeur ou supérieur.

Menace de niveau moyen – Mise à jour recommandée

La vulnérabilité est classée comme menace moyenne et a reçu une note de 6,4 sur une échelle de 1 à 10, 10 étant le niveau de vulnérabilité le plus critique. Il est recommandé aux utilisateurs du plugin disposant de la version 5.9.11 ou inférieure de mettre à niveau vers la dernière version du plugin, actuellement la version 5.9.13.

Lisez les bulletins de sécurité de Wordfence  :

Modules complémentaires essentiels pour Elementor – Meilleurs modèles, widgets, kits et constructeurs WooCommerce Elementor