Kritinė pažeidžiamybė Elementor Pro papildinėje: atnaujinkite savo WordPress svetainę

["

Pažeidžiamumas susijęs su failų įkėlimo patvirtinimo klaida funkcijose process_field ir Upload::validation(). Tam tikromis aplinkybėmis patvirtinimo procesas nutrūksta per anksti, todėl likutiniai įkelti failai nepraeina plėtinio ir MIME tipo patikros.cert

Tai gali leisti neautentifikuotam užpuolikui įkelti potencialiai išpildytą failą, apeigant svetainės sudrausmintus failų tipo apribojimus. Atsižvelgiant į serverio konfigūraciją ir įkelto failo vykdymo galimybes, puolimas gali sukelti nuotolinį kodų vykdymą ir pilną „WordPress" svetainės kompromitaciją.cert

Kurios svetainės yra pavojuje?

Pažeidžiamumas gali būti panaudotas svetainėse, kuriose:

• naudojamas Elementor Pro formos įrankis;

• formoje sukonfigūruotas failo įkėlimo laukas;

• failo įkėlimo laukas nenustatytas kaip privalomas.

Ypač atidžiai patikrinkite svetaines, kuriose lankytojai gali įkelti dokumentus, vaizdus arba kitus failus.

Ką daryti svetainės administratoriams?

1. Kuo greičiau atnaujinkite „Elementor Pro" į naujausią prieinamą versiją.

2. Patikrinkite, ar svetainėje nėra nežinomų arba įtartinų failų.

3. Peržiūrėkite žiniatinklio serverio ir „WordPress" žurnalus, atkreipdami dėmesį į neįprastus įkėlimo prašymus.

4. Patikrinkite „WordPress" naudotojo sąskaitas ir ištrinkite nežinomus administratorius arba kitus įtartinus sąskaitas.

5. Jei svetainė galėjo būti panaudota atakoje, pakeiskite administratoriaus slaptažodžius ir patikrinkite API raktus, prieigos leidimus ir kitus paslaptis.

6. Jei aptikti kompromitavimo ženklai, izoliuokite svetainę ir kreipkitės į saugumo specialistą.

„Elementor Pro" naudotojai neturėtų pasikliauti tik failo plėtinio patikromis. Papildomai apsaugoti rekomenduojama riboti įkeliamų failų tipus, neleidžiant laikyti vykdomųjų failų viešai prieinamose aplankuose ir naudoti naujausias „WordPress", papildinių ir serverio programinės įrangos versijas.

Šaltinis: CERT.LV pranešimas
Papildoma informacija: Patchstack analizė

"]