یک آسیب‌پذیری از نوع Cross-Site Request Forgery (CSRF) در افزونه Elementor برای سیستم مدیریت محتوای WordPress شناسایی شده است که به مهاجمان غیرمجاز (Unauthenticated) اجازه می‌دهد حساب‌های مدیر (Administrator) ایجاد کنند.
جزئیات فنی حمله
عاملان تهدید می‌توانند با فریب دادن یک مدیر وارد شده به سیستم (Logged-in Admin) برای باز کردن یک لینک مخرب، این نقص را اکسپلویت کنند. در این سناریو، نشست (Session) احراز شده‌ی قربانی را مجبور می‌کنند تا یک اکشن REST API را که با سطح دسترسی حساب آن‌ها مجاز است، اجرا کند. در نصب‌های پیش‌فرض، نتیجه این عملیات ایجاد یک حساب مدیر جدید تحت کنترل کامل مهاجم است.
دامنه اثرگذاری و تحلیل
افزونه Elementor یکی از محبوب‌ترین ابزارهای صفحه‌ساز WordPress است که در حدود ۱۰ میلیون وب‌سایت فعال است. این نقص امنیتی به‌طور خاص نسخه‌های 4.3.0 و 4.3.1 را تحت تأثیر قرار داده که طبق آمار WordPress.org، در حدود ۲ میلیون سایت از این نسخه‌ها استفاده می‌کنند.
تحلیل‌های شرکت Patchstack نشان می‌دهد که این مشکل در ماژول Editor Events رخ داده است. این ماژول با بررسی URI درخواست برای مسیر elementor/v1/events/، اعتبارسنجی REST nonce در WordPress را دور می‌زند (Bypass). از آنجایی که URI شامل پارامترهای کوئری تحت کنترل مهاجم است، آن‌ها می‌توانند این مسیر را به درخواست‌هایی که نقاط انتهایی (Endpoints) دیگر REST را هدف قرار داده‌اند، اضافه کنند و کاربر را برای اجرای آن‌ها با دسترسیات موجود فریب دهند.
ویژگی‌های خطرناک این اکسپلویت
- حمله تک‌کلیکی: تنها با باز کردن یک لینک توسط کاربر مدیر، اکشن مورد نظر اجرا می‌شود.
- عدم نیاز به ابزار پیچیده: این حمله نیازی به JavaScript، صفحه وب تحت کنترل مهاجم یا ارسال فرم ندارد.
- روش توزیع: لینک مخرب می‌تواند از طریق ایمیل، پیام‌های چت یا حتی کامنت‌های سایت ارسال شود.
تیم Elementor در نسخه 4.3.2 این مشکل را برطرف کرده است. به تمامی کاربرانی که از نسخه‌های آسیب‌پذیر استفاده می‌کنند، توصیه می‌شود فوراً به آخرین نسخه به‌روزرسانی کنند.
