[ad_1]
Plugin Essential Addons for Elementor WordPress, dengan lebih dari satu juta pengguna baru-baru ini menambal beberapa kerentanan yang memungkinkan penyerang jahat menjalankan kode arbitrer di situs web WordPress yang ditargetkan.
Kerentanan Serangan LFI ke RCE
Menurut situs web NIST Pemerintah AS, kerentanan pada plugin Essential Addons for Elementor memungkinkan penyerang meluncurkan serangan Penyertaan File Lokal, yang merupakan eksploitasi yang memungkinkan penyerang menyebabkan instalasi WordPress mengungkapkan informasi sensitif dan membaca sewenang-wenang file.
Dari sana serangan tersebut bisa mengarah pada serangan yang lebih serius yang disebut dengan Remote Code Execution (RCE). Eksekusi Kode Jarak Jauh adalah bentuk serangan yang sangat serius di mana peretas dapat menjalankan kode arbitrer di situs WordPress dan menyebabkan berbagai kerusakan, termasuk pengambilalihan situs secara penuh.
Sebagai contoh, serangan Penyertaan File Lokal dapat dilakukan dengan mengubah parameter URL menjadi sesuatu yang dapat mengungkapkan informasi sensitif.
Ini dimungkinkan karena plugin Essential Addons for Elementor WordPress tidak memvalidasi dan membersihkan data dengan benar.
Sanitasi Data adalah proses untuk membatasi jenis informasi yang mungkin diinput. Secara sederhana, sanitasi data dapat dianggap sebagai kunci yang hanya mengizinkan input tertentu, kunci dengan pola tertentu. Kegagalan untuk melakukan sanitasi data dapat dianalogikan dengan kunci yang memungkinkan kunci apa saja untuk membukanya.
Menurut Pemerintah Amerika Serikat Database Kerentanan Nasional:
“Plugin Essential Addons for Elementor WordPress sebelum 5.0.5 tidak memvalidasi dan membersihkan beberapa data template sebelum mereka menyertakan pernyataan, yang dapat memungkinkan penyerang yang tidak terautentikasi untuk melakukan serangan Penyertaan File Lokal dan membaca file arbitrer di server, ini juga dapat menyebabkan ke RCE melalui file yang diunggah pengguna atau teknik LFI ke RCE lainnya. ”
Keamanan oleh WPScan yang menemukan pertama kali menemukan dan laporkan kerentanan menerbitkan deskripsi berikut:
“Plugin tidak memvalidasi dan membersihkan beberapa data template sebelum mereka memasukkan pernyataan, yang dapat memungkinkan penyerang yang tidak diautentikasi untuk melakukan serangan Penyertaan File Lokal dan membaca file arbitrer di server, ini juga dapat menyebabkan RCE melalui file yang diunggah pengguna atau LFI lainnya. untuk teknik RCE. ”
Addons Penting untuk Elementor Ditambal
Kerentanan diumumkan di Database Kerentanan Nasional pada 1 Februari 2022.
Tetapi plugin Essential Addons for Elementor versi “Lite” telah menambal kerentanan sejak akhir Januari, menurut changelog Essential Addons Lite.
Changelog adalah log perangkat lunak dari semua perubahan yang dibuat untuk setiap versi yang diperbarui. Ini adalah catatan dari segala sesuatu yang telah diubah.
Anehnya, changelog untuk versi Pro hanya menyebutkan “Beberapa perbaikan dan peningkatan bug minor” tetapi tidak menyebutkan perbaikan keamanan.
Tangkapan layar dari Addons Esensial Untuk Elementor Pro Changelog
Mengapa informasi perbaikan keamanan hilang dari versi Pro dari plugin WordPress?
Changelog untuk versi Lite dari Plugin Essential Addons for Elementor Lite
Changelog untuk versi Lite yang mencakup versi 5.0.3 hingga 5.0.5 telah diperbarui dari 25 – 28 Januari 2022 untuk memperbaiki masalah berikut:
- Memperbaiki: Sanitasi parameter di widget dinamis
- Peningkatan: Jalur file template yang disanitasi untuk Peningkatan Keamanan
- Peningkatan: Keamanan yang Ditingkatkan untuk mencegah penyertaan file yang tidak diinginkan dari server jarak jauh melalui permintaan ajax
Changelog mencatat bahwa hari ini pada 2 Februari 2022 peningkatan keamanan berikut dilakukan untuk versi 5.0.6:
- Peningkatan: Sanitasi data, validasi & pelolosan untuk Peningkatan Keamanan
Apa Versi Paling Aman dari Plugin Essential Addons for Elementor?
Database Kerentanan Pemerintah AS belum menetapkan skor keparahan, jadi saat ini tidak jelas seberapa buruk kerentanannya.
Namun, kerentanan eksekusi kode jarak jauh sangat memprihatinkan sehingga mungkin ide yang baik untuk memperbarui ke versi terbaru dari plugin Essential Addons.
Situs web WPScan menyatakan bahwa kerentanan telah diperbaiki di Essential Addons for Elementor Plugin versi 5.0.5.
Namun log perubahan plugin untuk plugin versi Lite menyatakan bahwa versi 5.0.6 memperbaiki masalah sanitasi data tambahan hari ini, pada 22 Februari 2022.
Jadi mungkin lebih bijaksana untuk memperbarui ke setidaknya versi 5.0.6.
kutipan
Baca Laporan Kerentanan WPScan
Addons Penting untuk Elementor <5.0.5 - LFI Tidak Diautentikasi
Baca Laporan Pemerintah Amerika Serikat tentang Kerentanan
Baca Addons Penting untuk Elementor Plugin Lite Changelog
Addons Penting untuk Perubahanlog Plugin Elementor Lite
Baca Changelog untuk Addons Esensial untuk Elementor Pro
!function(f,b,e,v,n,t,s) {if(f.fbq)return;n=f.fbq=function(){n.callMethod? n.callMethod.apply(n,arguments):n.queue.push(arguments)}; if(!f._fbq)f._fbq=n;n.push=n;n.loaded=!0;n.version='2.0'; n.queue=[];t=b.createElement(e);t.async=!0; t.src=v;s=b.getElementsByTagName(e)[0]; s.parentNode.insertBefore(t,s)}(window,document,'script', 'https://connect.facebook.net/en_US/fbevents.js');
if( typeof sopp !== "undefined" && sopp === 'yes' ){ fbq('dataProcessingOptions', ['LDU'], 1, 1000); }else{ fbq('dataProcessingOptions', []); }
fbq('init', '1321385257908563');
fbq('track', 'PageView');
fbq('trackSingle', '1321385257908563', 'ViewContent', { content_name: 'wordpress-vulnerability-in-essential-addons-for-elementor', content_category: 'news wp ' });
[ad_2]
Penting dibaca: Tool Artikel Terbaik dan Keyword Allintitle serta Tips SEO Pageone