» Il semble donc que cette vulnérabilité soit assez répandue dans les plugins tiers qui sont des add-ons à Elementor.
Vulnérabilité des scripts intersites stockés
L’attaque est similaire à celle que Elementor a corrigée en février 2021.C’est ainsi que la vulnérabilité Elementor est décrite : «… l’élément« Heading »peut être configuré pour utiliser les balises H1, H2, H3, etc. afin d’appliquer différentes tailles d’en-tête via le paramètre header_size. éléments, les balises HTML n’étaient pas validées côté serveur, il était donc possible pour tout utilisateur capable d’accéder à l’éditeur Elementor, y compris les contributeurs, d’utiliser cette option pour ajouter du JavaScript exécutable à une publication ou une pag e via une requête spécialement conçue. »
Liste des meilleurs plugins complémentaires Elementor corrigés
La liste suivante n’est que partielle.Si votre plugin tiers qui ajoute des fonctionnalités à Elementor n’est pas répertorié, il est impératif de vérifier auprès de l’éditeur pour s’assurer qu’il a été vérifié pour voir s’il contient également cette vulnérabilité.
Liste des 17 meilleurs plugins Elementor patchés
- Addons essentiels pour Elementor
- Elementor – Modèle d’en-tête, de pied de page et de blocs
- Compléments ultimes pour Elementor
- Addons Premium pour Elementor
- ElementsKit
- Éléments complémentaires Elementor
- Addons Livemesh pour Elementor
- HT Mega – Compléments absolus pour Elementor Page Builder
- WooLentor – Compléments WooCommerce Elementor + Builder
- Addons PowerPack pour Elementor
- Effets de survol d’image – Addon Elementor
- Extensions et modèles Rife Elementor
- Les modules complémentaires pour Elementor Page Builder Lite
- Compléments tout-en-un pour Elementor – WidgetKit
- JetWidgets pour Elementor
- Extension Sina pour Elementor
- DethemeKit pour Elementor
Les éditeurs utilisant des plugins tiers pour Elementor doivent s’assurer que ces plugins ont été mis à jour pour corriger cette vulnérabilité.Bien que cette vulnérabilité nécessite au moins un accès de niveau contributeur, un pirate qui cible spécifiquement un site peut tirer parti de diverses attaques ou stratégies pour obtenir ces informations d’identification. y compris l’ingénierie sociale.Selon Wordfence : »Il peut être plus facile pour un attaquant d’obtenir l’accès à un compte avec des privilèges de contributeur que d’obtenir des informations d’identification administratives, et une vulnérabilité de ce type peut être utilisée pour effectuer une élévation de privilèges en exécutant JavaScript dans une session de navigateur de l’administrateur. » Si votre troisième Le plug-in du module complémentaire Party à Elementor n’a pas été récemment mis à jour pour corriger une vulnérabilité, vous pouvez contacter l’éditeur de ce plug-in pour vérifier s’il est sûr.
Citation
Des correctifs récents font vibrer l’écosystème Elementor