Accueil Tags Addons

Tag: addons

WordPress Ultimate Addons for Elementor La vulnérabilité affecte +1 million

0

Les éditeurs du plugin Ultimate Addons for Elementor ont informé les clients d’une vulnérabilité affectant deux de leurs plugins.

Voici l’entrée dans le journal des modifications liée au plugin Elementor corrigé que Brainstorm Force a corrigé en mars 2021 :

  • Version 1.30.0 – Corrigé – 30 mars 2021

    Options autorisées renforcées dans l’éditeur pour appliquer de meilleures politiques de sécurité.

Brainstorm Force Elementor Plugin Vulnérabilités

Les éditeurs du plugin Ultimate Addons for Elementor ont informé les clients d’une vulnérabilité affectant deux de leurs plugins.

Les deux plugins concernés sont des addons pour le populaire plugin de création de pages Elementor. Les addons sont des plugins tiers qui étendent les fonctionnalités et les fonctionnalités du plugin Elementor Page Builder.

Les plugins addon présentant des vulnérabilités sont publiés par un tiers, Brainstorm Force.

Les plugins concernés pour Elementor sont :

  • Addons ultimes pour Elementor
  • Elementor – Modèle d’en-tête, de pied de page et de blocs

Un e-mail envoyé par Brainstorm Force a indiqué qu’ils avaient été informés des vulnérabilités par l’équipe de sécurité de Wordfence et qu’ils avaient répondu en quelques heures.

D’après le mail :

« Dans chacune de ces mises à jour, nous avons corrigé une vulnérabilité signalée comme étant utilisée par l’équipe de Wordfence.

Ceux-ci sont très similaires à ceux que l’équipe Elementor a récemment corrigés dans leur version 3.1.2.

Capture d’écran de l’e-mail Brainstorm Force

Capture d'écran de l'e-mail de Brainstorm Force

La vulnérabilité Elementor à laquelle Brainstorm Force a fait référence est connue sous le nom de vulnérabilité de script intersite stockée, une vulnérabilité qui avait la possibilité de permettre à des pirates malveillants d’organiser une prise de contrôle complète du site.

(Lis: La vulnérabilité de WordPress Elementor affecte +7 millions)

Vulnérabilité de script intersite stocké

Brainstorm Force n’a pas explicitement indiqué que l’exploit corrigé était une vulnérabilité de script intersite stocké. Ils ont seulement comparé l’exploit corrigé à celui qui a été corrigé par le logiciel de création de pages Elementor.

Une vulnérabilité de script intersite stocké est une vulnérabilité dans laquelle un script malveillant est téléchargé directement sur le site Web. Ce type de vulnérabilité est généralement considéré comme plus grave qu’un autre type de vulnérabilité de script intersite (XSS) appelé XSS réfléchi qui dépend du clic sur un lien.

Avec une vulnérabilité XSS stockée, il n’est pas nécessaire de cliquer sur un lien, la vulnérabilité existe sur le site Web concerné.

Wordfence n’a pas publié de détails

Wordfence n’a pas publié les détails de la vulnérabilité. À ce jour, la seule description de la vulnérabilité a été fournie par Brainstorm Force comme étant similaire à la vulnérabilité du constructeur de pages Elementor.

Mais Brainstorm Force n’a pas explicitement déclaré que les vulnérabilités de leurs plugins sont des exploits Stored XSS. Seulement qu’ils étaient similaires à la vulnérabilité Elementor qui était une vulnérabilité XSS.

Versions corrigées des modules complémentaires Elementor

The Elementor – Modèle d’en-tête, de pied de page et de blocs

Le modèle Elementor – En-tête, pied de page et blocs a été mis à jour le 31 mars 2021 vers la version 1.5.8.

Selon le journal des modifications qui documente le contenu des mises à jour, cette mise à jour l’a renforcé contre une vulnérabilité.

Voici ce que le journal des modifications a documenté :

« 1.5.8
Correctif : options autorisées renforcées dans l’éditeur pour appliquer de meilleures politiques de sécurité. »

Le fait que l’éditeur ait eu besoin de durcissement donne un indice ce suggère que la vulnérabilité peut en être une qui nécessite qu’un pirate ait des privilèges de niveau abonné.

Mais cela n’a pas encore été confirmé officiellement pour le moment.

Addons ultimes pour Elementor

Le plugin Ultimate Addons for Elementor a également été mis à jour le 31 mars 2021 vers la version 1.30.0.

La raison donnée pour ce qui a été corrigé est exactement la même que pour le modèle Elementor – En-tête, pied de page et blocs.

Selon le journal des modifications Ultimate Addons for Elementor :

« Options renforcées autorisées dans l’éditeur pour appliquer de meilleures politiques de sécurité. »

Mettre à jour immédiatement

Il est fortement recommandé à tous les éditeurs utilisant ces deux plugins de mettre à jour leurs versions immédiatement.

Les dernières versions corrigées du logiciel sont :

  • The Elementor – Modèle d’en-tête, de pied de page et de blocs 1.5.8
  • Addons ultimes pour Elementor 1.30.0

Vulnérabilité WordPress dans les addons essentiels pour Elementor

0

Le plugin Essential Addons for Elementor WordPress, avec plus d’un million d’utilisateurs, a récemment corrigé plusieurs vulnérabilités qui auraient pu permettre à des attaquants malveillants d’exécuter du code arbitraire sur un site Web WordPress ciblé.

Vulnérabilité d’attaque LFI à RCE

Selon le site Web du gouvernement américain NIST, les vulnérabilités du plugin Essential Addons for Elementor ont permis à un attaquant de lancer une attaque Local File Inclusion, qui est un exploit qui permet à un attaquant de faire en sorte qu’une installation WordPress révèle des informations sensibles et lise des informations arbitraires. des dossiers.

À partir de là, l’attaque pourrait conduire à une attaque plus grave appelée Remote Code Execution (RCE). L’exécution de code à distance est une forme d’attaque très sérieuse dans laquelle un pirate est capable d’exécuter du code arbitraire sur un site WordPress et de causer une série de dommages, y compris une prise de contrôle complète du site.

Par exemple, une attaque par inclusion de fichiers locaux peut être accomplie en modifiant les paramètres d’URL en quelque chose qui pourrait révéler des informations sensibles.

Cela a été rendu possible car le plugin Essential Addons for Elementor WordPress n’a pas correctement validé et nettoyé les données.

La désinfection des données est un processus visant à limiter le type d’informations pouvant être saisies. En termes simples, le nettoyage des données peut être considéré comme un verrou qui n’autorise qu’une entrée spécifique, une clé avec un modèle spécifique. Un échec de l’assainissement des données pourrait être analogue à un verrou qui permet à n’importe quelle clé de l’ouvrir.

Selon la base de données nationale sur les vulnérabilités du gouvernement des États-Unis :

«Le plugin Essential Addons for Elementor WordPress avant 5.0.5 ne valide pas et ne nettoie pas certaines données de modèle avant qu’elles ne soient incluses dans les instructions, ce qui pourrait permettre à des attaquants non authentifiés d’effectuer une attaque par inclusion de fichiers locaux et de lire des fichiers arbitraires sur le serveur, cela pourrait également conduire vers RCE via des fichiers téléchargés par l’utilisateur ou d’autres techniques LFI vers RCE.

Le site de sécurité WPScan qui a été le premier à découvrir et à signaler la vulnérabilité a publié la description suivante :

« Le plugin ne valide pas et ne nettoie pas certaines données de modèle avant de les inclure dans les déclarations, ce qui pourrait permettre à des attaquants non authentifiés d’effectuer une attaque par inclusion de fichiers locaux et de lire des fichiers arbitraires sur le serveur, cela pourrait également conduire à RCE via des fichiers téléchargés par l’utilisateur ou d’autres LFI aux techniques RCE.

Addons essentiels pour Elementor patché

La vulnérabilité a été annoncée sur le site de la base de données nationale sur les vulnérabilités le 1er février 2022.

Mais la version « Lite » du plugin Essential Addons for Elementor corrige des vulnérabilités depuis fin janvier, selon le journal des modifications Essential Addons Lite.

Un journal des modifications est un fichier journal de toutes les modifications apportées pour chaque version d’un logiciel, comme un plugin WordPress, qui est mis à jour. C’est un enregistrement de tout ce qui a été changé.

Le but du journal des modifications est d’enregistrer ce qui a été modifié ainsi que de fournir de la transparence aux utilisateurs du logiciel, qui peuvent l’examiner avant la mise à jour et décider si la mise à jour est importante ou prendre du temps et tester le plugin sur un site intermédiaire pour voir si les modifications ont un impact sur d’autres plugins et le thème utilisé.

Curieusement, le journal des modifications de la version Pro ne mentionne que « Quelques corrections de bugs mineurs et améliorations » mais ne mentionne aucunement les correctifs de sécurité.

Capture d’écran des addons essentiels pour Elementor Pro Changelog

Journal des modifications pour les compléments essentiels pour le plugin Elementor

Pourquoi les informations sur le correctif de sécurité manquent-elles dans la version Pro du plugin WordPress ?

Journal des modifications pour la version Lite d’Essential Addons for Elementor Lite Plugin

Le journal des modifications de la version Lite couvrant les versions 5.0.3 à 5.0.5 a été mis à jour du 25 au 28 janvier 2022 pour résoudre les problèmes suivants :

  • Corrigé : nettoyage des paramètres dans les widgets dynamiques
  • Amélioré : Chemins d’accès aux fichiers de modèles épurés pour l’amélioration de la sécurité
  • Amélioré : sécurité renforcée pour empêcher l’inclusion d’un serveur distant de formulaire de fichier indésirable via une requête ajax

Le changelog note qu’aujourd’hui, le 2 février 2022, l’amélioration de sécurité suivante a été effectuée pour la version 5.0.6 :

  • Amélioré : désinfection, validation et échappement des données pour l’amélioration de la sécurité

Quelle est la version la plus sûre des compléments essentiels pour le plugin Elementor ?

La base de données du gouvernement américain sur les vulnérabilités n’a pas attribué de score de gravité, il n’est donc pas clair pour le moment à quel point la vulnérabilité est grave.

Cependant, une vulnérabilité d’exécution de code à distance est particulièrement préoccupante, c’est donc probablement une bonne idée de mettre à jour vers la toute dernière version du plugin Essential Addons.

Le site Web WPScan indique que les vulnérabilités ont été corrigées dans Essential Addons for Elementor Plugin version 5.0.5.

Cependant, le journal des modifications du plugin pour la version Lite du plugin indique que la version 5.0.6 corrige un problème supplémentaire de désinfection des données aujourd’hui, le 22 février 2022.

Il peut donc être prudent de mettre à jour au moins la version 5.0.6.

Citations

Lire le rapport de vulnérabilité WPScan

Addons essentiels pour Elementor < 5.0.5 – LFI non authentifié

Lire le rapport du gouvernement des États-Unis sur la vulnérabilité

CVE-2022-0320 Détail

Lisez le journal des modifications Essential Addons for Elementor Plugin Lite

Addons essentiels pour Elementor Lite Plugin Changelog

Lisez le journal des modifications pour les compléments essentiels pour Elementor Pro

Addons essentiels pour Elementor Pro Changelog