Lỗ hổng CSRF trong Elementor có thể dẫn đến chiếm quyền quản trị WordPress
"A high-severity CSRF vulnerability in the Elementor Website Builder WordPress plugin allowed an unauthenticated attacker to trigger privileged REST API actions when a logged-in user clicked a crafted link. In affected versions 4.3.0 and 4.3.1, this could be abused to create rogue administrator accounts and take over a site; the issue was fixed in version 4.3.2."
Ảnh hưởng trực tiếp đến quyền quản trị WordPress, có thể dẫn đến chiếm quyền site và tạo tài khoản admin trái phép nếu người dùng đăng nhập nhấp liên kết độc hại.
Có thể gây gián đoạn vận hành website, rủi ro sửa đổi nội dung/cấu hình và phát sinh chi phí xử lý sự cố, đặc biệt với các site dùng Elementor 4.3.0/4.3.1.
Một lỗ hổng CSRF mức độ nghiêm trọng cao đã được phát hiện trong Elementor Website Builder cho WordPress, cho phép kẻ tấn công chưa xác thực kích hoạt các hành động REST API có đặc quyền nếu người dùng đang đăng nhập nhấp vào một liên kết được tạo sẵn. Lỗi này ảnh hưởng đến các phiên bản 4.3.0 và 4.3.1, vốn đang được dùng trên hơn 10 triệu website WordPress; riêng hai phiên bản bị ảnh hưởng đã được cài trên hơn 2 triệu site.
Theo mô tả kỹ thuật, một liên kết đơn giản có thể khiến tài khoản quản trị thực hiện hành động mà nó được phép, và trên cấu hình mặc định có thể dẫn đến việc tạo thêm tài khoản quản trị viên cho kẻ tấn công. Vấn đề được đánh giá CVSS 8.8/10 và đã được khắc phục trong Elementor 4.3.2. Các phiên bản trước 4.3.0 không bị ảnh hưởng do không có thành phần Editor Events proxy.
Quản trị viên nên cập nhật ngay lên 4.3.2, rà soát các tài khoản quản trị mới tạo bất thường, và kiểm tra nhật ký REST API để phát hiện dấu hiệu khai thác. Do liên kết khai thác có thể xuất hiện trong email, chat hoặc bình luận, cần tăng cường cảnh giác với các URL lạ được gửi đến người dùng có quyền cao.