Descripción

Las fallas se descubrieron en los siguientes complementos:

Elementor.- un complemento de creación de sitios web que se usa en más de siete millones de sitios.

WP Super Cache.- una herramienta que es usado para la caché de un sitio de WordPress.

Según Wordfence, que descubrió las debilidades de seguridad en Elementor, el error se refiere a la vulnerabilidad "cross-site scripting almacenado" (XSS) (CVSS: 6.4), que se produce cuando se inyecta una secuencia de comandos maliciosos directamente en una aplicación web vulnerable.

En este caso, debido a la falta de validación de las etiquetas HTML en el lado del servidor, una persona mal intencionada puede explotar los problemas para agregar JavaScript ejecutable a una publicación o página a través de una solicitud enviada.

Se encontró que varios elementos HTML como Heading, Column, Accordion, Icon Box, and Image Box eran vulnerables al ataque XSS almacenado, lo que hace posible que cualquier usuario acceda al editor de Elementor y agregue un JavaScript ejecutable.

Dado que las fallas se aprovechan de datos dinámicos ingresados en una plantilla, podrían aprovecharse para incluir scripts maliciosos destinados a lanzar ataques XSS, dicho comportamiento puede frustrarse validando la entrada y filtrando los datos de salida para las etiquetas HTML.

Por otra parte, la vulnerabilidad de ejecución remota de código autenticado (RCE) fue descubierta en WP Super Cache que podría permitir a un atacante cargar y ejecutar código malicioso con el objetivo de obtener el control del sitio. Se informa que el complemento se usa en más de dos millones de sitios de WordPress.

Tras el reporte en 23 de febrero, Elementor fue solucionado en la versión 3.1.4 lanzada el 8 de marzo reforzando las "opciones permitidas en el editor para hacer cumplir mejores políticas de seguridad".

Recomendación

Se recomienda que los usuarios de los complementos actualicen a las últimas versiones para mitigar el riesgo asociado con las fallas se seguridad.

Referencias

https://thehackernews.com/2021/03/flaws-in-two-popular-wordpress-plugins.html