Le 23 décembre 2022, l’équipe Wordfence Threat Intelligence a lancé le processus de divulgation responsable pour un ensemble de 11 vulnérabilités dans Royal Elementor Addons, un plugin WordPress avec plus de 100 000 installations. Les développeurs du plugin ont répondu le 26 décembre et nous avons envoyé la divulgation complète ce jour-là.
Nous avons publié une règle de pare-feu protégeant contre ces vulnérabilités pour Wordfence Premium, Se soucieret Réponse clients le 23 décembre 2022. Les sites utilisant toujours la version gratuite de Wordfence recevront la même protection 30 jours plus tard, le 22 janvier 2023.
Bien qu’aucune des vulnérabilités n’ait été critique, plusieurs d’entre elles auraient pu être utilisées par n’importe quel utilisateur authentifié pour modifier le contenu, désactiver les plugins ou même supprimer temporairement le site dans certaines circonstances. De plus, l’une des vulnérabilités corrigées était une vulnérabilité de type Reflected Cross-Site Scripting qui aurait pu être utilisée pour prendre le contrôle du site si un attaquant était capable de tromper un administrateur pour qu’il effectue une action, comme cliquer sur un lien.
Détails de la vulnérabilité
Le principal ensemble de problèmes que nous avons trouvés avec Royal Elementor Addons était dû à un manque de contrôle d’accès et de vérifications nonce sur diverses actions AJAX dans le plugin.
Royal Elementor Addons a une option pour activer rapidement le thème recommandé de Royal Elementor Kit. Malheureusement, cela se fait via une fonction AJAX, wpr_activate_required_theme, qui n’a pas effectué de vérifications de capacité ou nonce, ni même vérifié si le thème était installé sur le site. Cela signifiait que tout utilisateur connecté, tel qu’un abonné, pouvait modifier le thème d’un site vulnérable. Si le thème Royal Elementor Kit n’était pas installé sur le site, cela entraînerait une perte de disponibilité car le site ne se chargerait pas et afficherait à la place un message d’erreur.
Royal Elementor Addons a la possibilité de ramener le site à un état «compatible» pour les modèles importés via le wpr_fix_royal_compatibility Fonction AJAX. Cela implique de désactiver tout sauf une courte liste de plugins codés en dur. Comme la fonction n’a pas utilisé de contrôles de capacité ou nonce, cela signifie que tout utilisateur authentifié peut désactiver les plugins nécessaires à la fonctionnalité du site ainsi que tous les plugins de sécurité qui ne bloquent pas spécifiquement cette action. Cela pourrait rendre le site indisponible ou vulnérable à d’autres exploits.
Royal Elementor Addons permet d’importer des modèles prédéfinis via le wpr_import_templates_kit Fonction AJAX. Les versions vulnérables du plug-in n’incluent pas la capacité ou la vérification nonce de cette fonction, de sorte que tout utilisateur authentifié peut importer des modèles, écrasant potentiellement tous les modèles existants.
Royal Elementor Addons a la possibilité d’activer les plugins ‘contact-form-7’, ‘media-library-assistant’ ou ‘woocommerce’ s’ils sont installés sur le site via le wpr_activate_required_plugins action AJAX, et cette fonctionnalité était disponible pour tout utilisateur connecté. Heureusement, l’impact de cette vulnérabilité est assez minime car elle ne permettrait à un attaquant d’activer que trois plugins sélectionnés.
Royal Elementor Addons a une action AJAX, wpr_reset_previous_import, utilisé pour supprimer le contenu précédemment importé lors de l’importation d’un nouveau contenu. Cependant, comme il est accessible à tout utilisateur authentifié, cela pourrait être utilisé pour supprimer le contenu importé sans importer de nouveau contenu, ce qui pourrait entraîner des problèmes de disponibilité du site.
Royal Elementor Addons utilise le wpr_final_settings_setup Action AJAX pour finaliser l’activation des modèles de configuration de site prédéfinis, qui peuvent être choisis et importés via une action distincte. Comme pour les autres vulnérabilités enregistrées ici, tout utilisateur authentifié pouvait accéder à cette fonctionnalité, même si l’impact de cette vulnérabilité était moindre.
Royal Elementor Addons utilise le wpr_save_mega_menu_settings Action AJAX pour mettre à jour les paramètres du méga menu. Comme pour les autres vulnérabilités que nous avons trouvées, cette action a appelé une fonction qui n’incluait pas de vérification de capacité ou de vérification nonce, afin que tout utilisateur authentifié puisse mettre à jour les paramètres du menu.
Royal Elementor Addons utilise le wpr_save_template_conditions Action AJAX pour enregistrer les conditions du modèle, déterminant quand un modèle donné sera affiché et utilisé. L’action appelait une fonction accessible à tout utilisateur authentifié.
Royal Elementor Addons utilise le wpr_import_library_template Action AJAX pour importer et activer des modèles à partir de la bibliothèque de modèles des développeurs de plugins. Comme pour les autres vulnérabilités signalées ici, l’action a appelé une fonction qui n’incluait pas de vérification de capacité ou de nonce, permettant à tout utilisateur authentifié d’y accéder.
Les vulnérabilités finales que nous avons trouvées ne correspondaient pas exactement au schéma des autres – l’une était une falsification de requête intersite (CSRF) de moindre gravité et l’autre, un script intersite reflété de gravité plus élevée (XSS).
Contrairement aux autres actions AJAX que nous avons mentionnées jusqu’à présent, wpr_create_mega_menu_template, qui est utilisé pour créer de nouveaux modèles de menu, incluait le contrôle d’accès. Cependant, il manquait toujours une vérification nonce, de sorte qu’un attaquant pouvait inciter un administrateur connecté à effectuer une action qui entraînerait la création d’un modèle de menu.
Contrairement à toutes les autres vulnérabilités mentionnées ci-dessus, le script intersite réfléchi (XSS) peut être utilisé par un attaquant pour prendre complètement le contrôle d’un site Web s’il peut inciter un administrateur connecté à effectuer une action, telle que cliquer sur un lien, en effectuer des actions en tant qu’administrateur, telles que l’ajout d’un nouvel administrateur malveillant ou l’insertion d’une porte dérobée dans un plugin ou un fichier de thème.
De plus, les utilisateurs non authentifiés pourraient également être ciblés par cela pour les rediriger vers un site Web malveillant ou effectuer des actions dans leurs navigateurs. Dans ce cas, le data_fetch la fonction n’a pas réussi à échapper à la wpr_ajax_search_link_target paramètre utilisé pour renvoyer les résultats de la recherche. Noter que tous Les utilisateurs de Wordfence, y compris les utilisateurs gratuits de Wordfence, sont protégés contre les exploits ciblant cette règle par la protection intégrée contre les scripts intersites du pare-feu Wordfence.
Chronologie
23 décembre 2022 – Nous publions une règle de pare-feu protégeant les clients Wordfence Premium, Care et Response et contactons le développeur du plugin
26 décembre 2023 – Le développeur du plugin répond
29 décembre 2023 – Une version corrigée, 1.3.60, est publiée
22 janvier 2023 – La règle de pare-feu devient disponible pour les utilisateurs de Wordfence Free
Conclusion
Dans l’article d’aujourd’hui, nous avons couvert un ensemble de 11 vulnérabilités dans le plugin Royal Elementor Addons. Bien qu’aucun ne soit critique, plusieurs peuvent avoir des conséquences graves dans certaines circonstances.
Le pare-feu Wordfence protège Wordfence Premium, Se soucieret Réponse les utilisateurs de ces vulnérabilités et les utilisateurs de Wordfence Free recevront une protection le 22 janvier 2023. Néanmoins, nous vous recommandons fortement de mettre à jour dès que possible la dernière version du plugin, qui est 1.3.60 au moment de la rédaction de cet article.
Si vous pensez que votre site a été compromis en raison de cette vulnérabilité ou de toute autre vulnérabilité, nous proposons des services de réponse aux incidents via Soins Wordfence. Si vous avez besoin que votre site soit nettoyé immédiatement, Réponse Wordfence offre le même service avec une disponibilité 24/7/365 et un temps de réponse d’une heure. Ces deux produits incluent une assistance pratique au cas où vous auriez besoin d’une assistance supplémentaire. Si vous avez des amis ou des collègues qui utilisent ce plugin, veuillez partager cette annonce avec eux et les encourager à mettre à jour la dernière version corrigée de Royal Elementor Addons dès que possible.
Si vous êtes chercheur en sécurité, vous pouvez divulguez-nous vos découvertes de manière responsable et obtenez un ID CVE et obtenez votre nom sur le Classement Wordfence Intelligence Community Edition.
Source link