Explotación de adquisición total del sitio Zero Day descubierta en el popular complemento de WordPress para el creador de páginas Elementor
Actualizado: los complementos Plus para Elementor se parchearon por completo en la versión 4.1.7 el 9 de marzo de 2021 para cerrar la vulnerabilidad y hacer que el complemento sea seguro.
Se ha descubierto una vulnerabilidad de día cero en los complementos de WordPress Plus para Elementor. El exploit permite una toma de control de todo el sitio. Los investigadores de seguridad recomiendan deshabilitar inmediatamente el complemento para evitar ser pirateado.
El exploit no está presente en Elementor en sí, está en un complemento popular que amplía Elementor.
Vulnerabilidad de día cero
Una vulnerabilidad de día cero es una vulnerabilidad que los piratas informáticos conocen pero para la cual el desarrollador de software no tiene un parche para detenerla.
Normalmente, se descubre una vulnerabilidad y el desarrollador de software tiene tiempo para corregirla antes de que los piratas informáticos descubran la falla.
En un escenario típico de vulnerabilidad de día cero, la falla es conocida y los piratas informáticos la explotan activamente, mientras que los desarrolladores de software se apresuran a descubrir cuál es la vulnerabilidad.
Esta es la razón por la cual las vulnerabilidades de día cero se consideran de gran preocupación, ya que los sitios web pueden ser pirateados en el tiempo que transcurre entre que se descubre la vulnerabilidad y se lanza un parche.
Los complementos Plus para Elementor Exploit
Plus Addons para Elementor es un conjunto de más de cien widgets, plantillas y bloques que amplía las posibilidades de diseño para los sitios que utilizan el complemento de creación de páginas de Elementor.
Elementor es un complemento de creación de páginas que amplía el editor nativo de WordPress para facilitar la creación de sitios web atractivos.
Sin embargo, la vulnerabilidad no está en Elementor. La vulnerabilidad existe en un complemento que amplía las capacidades de diseño de Elementor.
¿Qué son los complementos Plus para la vulnerabilidad de Elementor?
Hay dos tipos de complementos Plus para complementos de Elementor. Hay una versión gratuita y una versión de pago.
La falla no existe en la versión gratuita.. Entonces, si está operando con la versión gratuita del complemento, entonces su sitio es seguro.
La versión paga del complemento no es segura.
La versión paga de Plus Addon es vulnerable
Según los investigadores de seguridad de Wordfence, los módulos de widgets de registro e inicio de sesión del complemento son el vector de ataque.
“If you are using The Plus Addons for Elementor plugin, we strongly recommend that you deactivate and remove the plugin completely until this vulnerability is patched. If the free version will suffice for your needs, you can switch to that version for the time being.
If your site’s functionality is dependent on this plugin, we recommend completely removing any registration or login widgets added by the plugin and disabling registration on your site. No patched version is available at the time of this publication.”
It was later discovered that disabling the WP Login & Register widget is not enough to prevent being hacked.
“…the vulnerabilities are still exploitable even if the “WP Login & Register” widget is disabled. For that reason, we recommend temporarily deactivating and removing the plugin until a patch has been released.”
“Si está utilizando el complemento The Plus Addons para Elementor, le recomendamos encarecidamente que desactive y elimine el complemento por completo hasta que se corrija esta vulnerabilidad.. Si la versión gratuita es suficiente para sus necesidades, puede cambiar a esa versión por el momento.
Si la funcionalidad de su sitio depende de este complemento, le recomendamos que elimine por completo cualquier registro o widget de inicio de sesión agregado por el complemento y deshabilite el registro en su sitio.. Ninguna versión parcheada está disponible en el momento de esta publicación”.
Más tarde se descubrió que deshabilitar el widget de inicio de sesión y registro de WP no es suficiente para evitar ser pirateado.
«… las vulnerabilidades aún son explotables incluso si el widget «Iniciar sesión y registrarse de WP» está deshabilitado. Por esa razón, recomendamos desactivar y eliminar temporalmente el complemento hasta que se publique un parche”.
Se está trabajando en un parche, pero tome medidas ahora
El desarrollador del complemento está trabajando arduamente para crear un parche.. Se lanzó rápidamente un parche inicial, pero los investigadores de WordFence confirmaron que no fortalecía completamente el complemento contra el exploit.
Tomar medidas ahora
Como se mencionó anteriormente, Wordfence recomienda desactivar y eliminar completamente el complemento.. Si hay funciones del sitio que dependen del complemento, es posible instalar la versión gratuita temporalmente hasta que se publique un parche.
Puede que no sea prudente arriesgarse y esperar un parche porque la falla se está explotando activamente.
Citación
El día cero crítico en The Plus Addons para Elementor permite la adquisición del sitio Critical 0-day in The Plus Addons for Elementor Allows Site Takeover
Leer el articulo original en Search Engine Journal.
