Uno de los complementos de creación de sitios web más populares para WordPress tiene una vulnerabilidad de alta gravedad que los actores de amenazas pueden usar para hacerse cargo del sitio web vulnerable por completo, advirtieron los investigadores.
El investigador de seguridad cibernética Jerome Bruandet de NinTechNet dijo que descubrió una falla en Elementor Pro que permite que un atacante autenticado cree una cuenta de administrador. Eso brinda a los atacantes una variedad de posibilidades, incluida una que se está utilizando activamente: redirigir todo el tráfico a un sitio web malicioso externo.
ArsTechnica informa que el tráfico de sitios web comprometidos se está redirigiendo[dot]rastreadores[dot]com.
Vulnerabilidad crítica
WordPress (se abre en una pestaña nueva) Los expertos en seguridad PatchStack también encontraron algunos actores de amenazas que subían archivos maliciosos a sitios web vulnerables, incluidos wp-resortpack.zip, wp-rate.php y lll.zip.
La vulnerabilidad ha sido calificada con 8.8/10, obteniendo el estado «crítico». Se recomienda a los usuarios que actualicen Elementor Pro a 3.11.7 o posterior, ya que todas las versiones anteriores son vulnerables a la falla.
Esta no es la primera vez que se descubre una falla de alta gravedad en Elementor. En abril del año pasado, los investigadores de ciberseguridad de Wordfence encontraron una falla que permitía a cualquier usuario autenticado cargar código PHP arbitrario. En ese entonces, el complemento estaba en la versión 3.6.0, que introdujo un nuevo módulo de incorporación. El objetivo del módulo era simplificar la configuración inicial del complemento, pero venía con un método «inusual» para registrar acciones AJAX, sin comprobaciones de capacidad.
En consecuencia, cualquier usuario que haya iniciado sesión podría utilizar cualquiera de las funciones de incorporación. Dicho esto, un atacante podría, por ejemplo, crear un complemento zip malicioso «Elementor Pro» y usar las funciones de incorporación para instalarlo. Luego, el sitio ejecutaría cualquier código presente en el complemento, incluido el código diseñado para hacerse cargo del sitio o acceder a recursos adicionales en el servidor. Las funciones también podrían usarse para desfigurar completamente el sitio, decían los investigadores en ese momento.
Hoy, Elementor Pro es utilizado por más de 12 millones de sitios web, concluye ArsTechnica.
Vía: Ars Technica (se abre en una pestaña nueva)