Wordfence-säkerhetsanalytiker fann att praktiskt taget alla plugin-försök som tillför funktionalitet till Elementor hade sårbarhet. Många av de kontaktade plugin-utgivarna uppdaterade sina plugins men inte alla reagerade, inklusive premium-plugins.
Elementor-sidans byggare-plugin fixade en liknande sårbarhet i februari 2021.
Denna sårbarhet påverkar tilläggsprogram för Elementor som skapas av tredje part.
Som anges av Wordfence:
“Vi hittade samma sårbarheter i nästan varje plugin som vi granskade som lägger till ytterligare element till Elementor-sidbyggaren.”
Så det verkar vara så att denna sårbarhet verkligen är gränslös inuti plug-ins från tredje part som är tillägg till Elementor.
Lagrad sårbarhet för skriptöverskridande webbplatser
En lagrad skriptsårbarhet över flera webbplatser är särskilt farlig eftersom det skadliga skriptet laddas upp till och lagras på den aktuella webbplatsen. Sedan när en användare besöker den påverkade webbplatsen kommer webbläsaren att köra det skadliga skriptet.
Om individen som besöker webbplatsen är inloggad och har åtkomst på administratörsnivå kan skriptet användas för att ge den åtkomstnivån till hackaren och leda till en fullständig webbplatsövertagande.
Denna specifika sårbarhet tillåter en angripare med åtminstone behörighetsnivåbehörighet att ladda upp ett skriptuppsättning där en komponent (som en huvudkomponent) ska vara.
Angreppet är som ett som Elementor fixade i februari 2021.
Så här beskrivs Elementors sårbarhet:
“…” Rubrik “-elementet kan ställas in för att använda taggarna H1, H2, H3, etc. för att tillämpa olika rubrikstorlekar via parametern header_size.
Tyvärr validerades HTML-taggarna för sex av dessa element inte på serversidan, så det var möjligt för alla användare som kunde komma åt Elementor-redigeraren, inklusive bidragsgivare, att använda det här alternativet för att lägga till körbar JavaScript till ett inlägg eller en sida via en utformad begäran. ”
Lista över de bästa Elementor-tilläggsprogrammen fixade
Listan nedan med sjutton plugins för Elementor som påverkades är installerad på miljoner webbplatser.
Av dessa plugins finns över 100 slutpunkter, vilket innebär att det fanns olika sårbarheter i vart och ett av pluginsna där en angripare kunde ladda upp en skadlig JavaScript-fil.
Följande lista är endast ofullständig.
Om ditt outsider-plugin som lägger till funktionalitet till Elementor inte är listat är det grundläggande att kontrollera med utgivaren för att se om det har verifierats om det också innehåller denna sårbarhet.
Lista över topp 17 Patched Elementor-plugins
- Viktiga tillägg för Elementor
- Elementor – Mall för sidhuvud, sidfot och block
- Ultimate Addons för Elementor
- Premium-tillägg för Elementor
- ElementsKit
- Elementor Addon Elements
- Livemesh-tillägg för Elementor
- HT Mega – Absoluta tillägg för Elementor Page Builder
- WooLentor – WooCommerce Elementor Addons + Builder
- PowerPack-tillägg för Elementor
- Image Hover Effects – Elementor Addon
- Rife Elementor-tillägg och mallar
- Plus-tilläggen för Elementor Page Builder Lite
- Allt-i-ett-tillägg för Elementor – WidgetKit
- JetWidgets för Elementor
- Sina Extension för Elementor
- DethemeKit för Elementor
Vad ska jag göra om du använder ett Elementor-plugin?
Utgivare som använder externa plugins för Elementor bör se till att dessa plugins har uppdaterats för att åtgärda denna sårbarhet.
Medan denna sårbarhet behöver åtminstone en tillgång på bidragsnivå, kan en hacker som uttryckligen fokuserar på en webbplats utnyttja olika attacker eller strategier för att skaffa dessa uppgifter, inklusive socialteknik.
Som anges av Wordfence:
“Det kan vara lättare för en angripare att få tillgång till ett konto med bidragsrättigheter än att få administrativa referenser, och en sårbarhet av denna typ kan användas för att utföra behörighetsökning genom att köra JavaScript i en granskande administratörs webbläsarsession.”
Om ditt tilläggsprogram från tredje part till Elementor inte nyligen har uppdaterats för att åtgärda en sårbarhet kan du behöva kontakta utgivaren av det pluginet för att ta reda på om det är säkert.
Citat
Senaste plåster rockar Elementors ekosystem
Jag på CodeByFarhan erbjuder Sveriges bästa WordPress-utvecklingstjänster. Våra WordPress-utvecklingsexperter är mycket professionella för att utveckla kreativa WordPress-webbplatser för alla typer av företag. Mejla mig på hi@codebyfarhan.com eller få en offert härifrån.