Elementor CSRF Flaw Lets Attackers Take Over Sites After Admin Clicks Crafted Link
The Hacker News · 26 sept, 11:55
Una vulnerabilidad crítica de falsificación de solicitud entre sitios (CSRF) en el plugin Elementor Website Builder afecta a las versiones 4.3.0 y 4.3.1, permitiendo a atacantes no autenticados crear cuentas de administrador y tomar control de sitios WordPress. El defecto, con puntuación CVSS de 8.8, requiere únicamente que un administrador acceda a un enlace malicioso (por correo, chat o comentario), sin necesidad de JavaScript ni formularios. Elementor ha lanzado la versión 4.3.2 con el parche, y se recomienda actualizar de inmediato, ya que el plugin está instalado en más de 10 millones de sitios WordPress.
La vulnerabilidad reside en el módulo Editor Events del plugin, que omite la protección CSRF para solicitudes REST API autenticadas por cookie cuando aparece la cadena literal "elementor/v1/events/" en cualquier parte del URI de la solicitud. Como el URI incluye la cadena de consulta controlada por quien compone el enlace, cualquier solicitud REST puede eludir esa protección simplemente añadiendo un parámetro inofensivo que contenga la cadena vulnerable. Este bypass se aplica a toda la superficie de la API REST del sitio, incluidas las rutas de WordPress core y las de otros plugins instalados.
Un atacante puede explotar este fallo para crear una cuenta de administrador mediante una solicitud GET a "/wp/v2/users" con parámetros POST (username, email, password, roles) y un parámetro adicional "x=elementor/v1/events/" que elude la protección CSRF. El ataque no requiere prerequisito alguno: el enlace puede ser una etiqueta ancla simple en un correo, mensaje de chat o comentario. Las versiones anteriores a 4.3.0 no incluyen el proxy Editor Events y no están afectadas.
Puntos clave
- Afecta a Elementor versiones 4.3.0 y 4.3.1; resuelto en 4.3.2
- Instalado en más de 2 millones de sitios con las versiones vulnerables
- El bypass CSRF permite eludir la protección mediante el parámetro x=elementor/v1/events/
- Ataque requiere solo que un administrador autenticado acceda a un enlace malicioso
- Reportado por Saggre; pendiente asignación de CVE