Le populaire Plugin WordPress Elementor Pro présentait une grave vulnérabilité qui pouvait permettre de prendre le contrôle d'un site web. Pire encore, la vulnérabilité a fait l'objet d'une attaque peu après son apparition, ce qui a obligé les administrateurs de WP à installer rapidement les correctifs.
La vulnérabilité du plugin Elementor Pro a mis en danger les administrateurs de site
Selon les détails partagés par le découvreur de cette vulnérabilité, Jérôme Bruandet, dans un post, une vulnérabilité de prise de contrôle de site de haute sévérité a affecté le plugin Elementor Pro.
Bruandet a observé que la vulnérabilité n'affectait que la version premium, et que les sites web utilisant la version gratuite d'Elementor étaient donc à l'abri de cette faille.
Plus précisément, le chercheur a observé un manque de validation dans la fonction update_option, appelée par la fonction pro_woocommerce_update_page_option. Alors que cette fonction permet à l'administrateur du site de mettre à jour les options WooCommerce requises, l'absence de validation de l'utilisateur permet un accès illimité aux utilisateurs authentifiés non privilégiés. Ainsi, un adversaire authentifié pouvait créer des comptes d'administrateur et prendre le contrôle du site web cible.
Elementor Pro est la version premium du célèbre plugin WordPress Elementor, qui permet aux administrateurs de sites de créer des sites web attrayants sans effort. Le plugin compte actuellement plus de 5 millions d'installations actives. Cela signifie que toute vulnérabilité dans ce plugin peut mettre en danger des millions de sites web dans le monde entier si elle est exploitée.
C'est ce que Patchstack a souligné dans son avis, notifiant les utilisateurs de l'exploitation active de la vulnérabilité d'Elementor Pro. Ils ont observé de nombreuses tentatives d'exploitation à partir de différentes adresses IP (impliquant principalement ces trois IP : 193.169.194.63, 193.169.195.64, et 194.135.30.6). Ils ont également remarqué que les attaquants redirigeaient les utilisateurs vers des URL malveillantes, ce qui pourrait non seulement nuire à la crédibilité du site web infecté, mais aussi menacer la sécurité des visiteurs du site.
Cette vulnérabilité affecte les versions 3.11.6 et inférieures d'Elementor Pro. Lorsqu'ils ont été informés de la faille, les développeurs du plugin ont corrigé le problème et publié le correctif dans la version 3.11.7.
Patchstack conseille vivement à tous les administrateurs de sites utilisant Elementor Pro de mettre à jour leurs sites avec la dernière version du plugin (3.11.7 ou supérieure) pour recevoir le correctif. La page officielle WordPress du plugin indique que la version actuelle est la 3.12.0.
Faites-nous part de vos impressions dans les commentaires.
