Los actores de amenazas desconocidos están explotando activamente una vulnerabilidad de seguridad parcheada recientemente en el complemento del creador de sitios web Elementor Pro para WordPress.
La falla, descrita como un caso de control de acceso roto, afecta a las versiones 3.11.6 y anteriores. Fue abordado por los mantenedores del complemento en la versión 3.11.7 lanzada el 22 de marzo.
«Aplicación de seguridad de código mejorada en los componentes de WooCommerce», la empresa con sede en Tel Aviv dicho en sus notas de publicación. El complemento premium es estimado para ser utilizado en más de 12 millones de sitios.
La explotación exitosa de la falla de alta gravedad permite que un atacante autenticado complete una toma de control de un sitio de WordPress que tiene habilitado WooCommerce.
«Esto hace posible que un usuario malicioso active la página de registro (si está deshabilitada) y establezca el rol de usuario predeterminado en administrador para que pueda crear una cuenta que tenga privilegios de administrador al instante», Patchstack dicho en una alerta del 30 de marzo de 2023.
«Después de esto, es probable que redirijan el sitio a otro dominio malicioso o carguen un complemento malicioso o una puerta trasera para explotar aún más el sitio».
Acreditado con descubrir y reportar la vulnerabilidad el 18 de marzo de 2023, es el investigador de seguridad de NinTechNet Jerome Bruandet.
Patchstack señaló además que la falla está siendo abusada actualmente desde varias direcciones IP con la intención de cargar archivos PHP y ZIP arbitrarios.
Se recomienda a los usuarios del complemento Elementor Pro que actualicen a 3.11.7 o 3.12.0, que es la última versión, lo antes posible para mitigar posibles amenazas.
¡Conviértase en un profesional de respuesta a incidentes!
Descubra los secretos de la respuesta a incidentes a prueba de balas: ¡domine el proceso de 6 fases con Asaf Perlman, líder de IR de Cynet!
El aviso llega más de un año después de que se descubriera que el complemento Essential Addons for Elementor contenía una vulnerabilidad crítica que podría resultar en la ejecución de código arbitrario en sitios web comprometidos.
La semana pasada, WordPress emitió actualizaciones automáticas para remediar otro error crítico en el complemento de pagos de WooCommerce que permitía a los atacantes no autenticados obtener acceso de administrador a sitios vulnerables.