Essential Addons для Elementor, популярного плагина с более чем миллионом активных установок, исправила критическую уязвимость , позволяющую провести локальную атаку с включением файлов.
Уязвимость была обнаружена исследователем безопасности Вай Ян Мьо Тетом, о чем 25 января 2022 года сообщил Patchstack. Клиенты Patchstack получили виртуальный патч в тот же день. Проблема уже была известна разработчикам плагина, WPDeveloper, которые выпустили два недостаточных патча, прежде чем она была окончательно исправлена в версии 5.0.5.
Patchstack опубликовал краткое описание уязвимости и объяснил, как сайты WordPress, использующие плагин, могут быть скомпрометированы:
Эта уязвимость позволяет любому пользователю, независимо от его статуса аутентификации или авторизации, выполнить локальную атаку включения файлов. Эта атака может быть использована для включения локальных файлов в файловую систему веб-сайта, таких как /etc/passwd. Это также можно использовать для выполнения RCE, включив файл с вредоносным кодом PHP, который обычно не может быть выполнен.
Важно отметить, что уязвимость в первую очередь затрагивает пользователей, которые используют виджеты динамической галереи и галереи продуктов.
Журнал изменений плагина делает обновление больше похожим на улучшение, чем на серьезную проблему безопасности, поэтому пользователи могут не до конца осознавать, что им необходимо обновление:
5.0.5 — 01.08.2022
Улучшено: повышенная безопасность для предотвращения включения нежелательного файла с удаленного сервера через запрос ajax
. 5.0.4 — 01.07.2022
. Улучшено: очищены пути к файлам шаблонов для повышения безопасности
. Добавлено: поддержка новых запросов возможностей. для WordPress 5.9
Исправлено: всплывающие окна Elementor не запускаются
Несколько мелких исправлений ошибок и улучшений
Все версии до 5.0.5 считаются уязвимыми. Статистика WordPress.org не разбивает активные установки на младшие версии, но примерно 54% пользователей плагина используют версии старше 5.0.
Хотя может показаться, что более полумиллиона пользователей все еще уязвимы, им также необходимо использовать определенные рассматриваемые виджеты. Если вы не уверены, используете ли вы эти виджеты в комбинации, в любом случае лучше просто обновить их как можно скорее.
