Un gruppo di Hacker, ancora sconosciuti, stanno sfruttando una vulnerabilità di sicurezza recentemente risolta nel plugin Elementor Pro per la creazione di siti web su WordPress.
La vulnerabilità, descritta come un caso di controllo d’accesso non funzionante, riguarda le versioni 3.11.6 e precedenti. È stata risolta dagli sviluppatori del plugin nella versione 3.11.7 rilasciata il 22 marzo.
Una vulnerabilità nei componenti di WooCommerce
“Migliorata l’applicazione della sicurezza del codice nei componenti di WooCommerce” ha dichiarato, nelle note di rilascio, l’azienda con sede a Tel Aviv.
È stimato che il plugin premium sia utilizzato su oltre 12 milioni di siti. Lo sfruttamento di successo di questa vulnerabilità di alta pericolosità consente a un hacker autenticato di prendere il controllo di un sito WordPress che ha WooCommerce abilitato.
“Ciò rende possibile per un utente malintenzionato di attivare la pagina di registrazione (se disabilitata) e impostare il ruolo utente predefinito come amministratore in modo da creare un account con privilegi di amministrazione istantanei”, ha dichiarato Patchstack in un avviso del 30 marzo 2023.
“Dopo di ciò, è probabile che venga reindirizzato il sito a un altro dominio maligno o che si carichi un plugin o backdoor malintenzionato per ulteriori attacchi.” Il ricercatore di sicurezza di NinTechNet Jerome Bruandet, che ha scoperto e segnalato la vulnerabilità il 18 marzo 2023, è stato accreditato. Patchstack ha anche fatto notare che la falla viene attualmente abusata da diversi indirizzi IP intenzionati a caricare file PHP e archivi ZIP arbitrari.
Cosa fare per mettersi al riparo?
Gli utenti del plugin Elementor Pro sono invitati ad aggiornare alla versione 3.11.7 o 3.12.0, l’ultima versione, il prima possibile per mitigare le eventuali minacce.
La raccomandazione arriva oltre un anno dopo che si è scoperto che il plugin Essential Addons per Elementor conteneva una vulnerabilità critica che poteva portare all’esecuzione di codice arbitrario su siti compromessi. La settimana scorsa, WordPress ha emesso aggiornamenti automatici per porre rimedio a un’altra grave vulnerabilità nel plugin WooCommerce Payments che consentiva ad attaccanti non autenticati di ottenere accesso amministrativo ai siti vulnerabili.
