11 Plugin Elementor Addon với 15 Lỗ Hổng Đe Dọa Hơn 3 Triệu Website WordPress

Hai Loại Lỗ Hổng Khác Nhau

Hầu hết lỗ hổng đều là Stored Cross Site Scripting (XSS). Ba trong số đó là Local File Inclusion.

Lỗ hổng XSS thường là dạng lỗ hổng phổ biến nhất được tìm thấy trong các plugin và theme WordPress. Chúng thường phát sinh từ các lỗi trong cách dữ liệu nhập được bảo vệ (input sanitization) và cách dữ liệu xuất được khóa lại (output escaping).

Một lỗ hổng Local File Inclusion là một lỗ hổng khai thác một khu vực đầu vào người dùng không an toàn cho phép kẻ tấn công 'include' một file vào đầu vào. Include là một thuật ngữ lập trình. Nói một cách đơn giản, việc include file là một khái niệm lập trình (một câu lệnh) mà nói cho trang web thêm một mã cụ thể từ file, như một file PHP. Tôi đã sử dụng include trong PHP để đưa dữ liệu từ một file (như tiêu đề của một trang web) và đặt nó vào mô tả meta, đó là một ví dụ về cách include.

Loại lỗ hổng này có thể là một mối đe dọa nghiêm trọng vì nó cho phép kẻ tấn công 'include' một loạt mã mà trong suốt có thể dẫn đến khả năng bypass bất kỳ hạn chế nào về hành động có thể thực hiện trên trang web và/hoặc cho phép truy cập vào dữ liệu nhạy cảm thường bị hạn chế.

Danh Sách Plugin Elementor Add-On Có Lỗ Hổng

Có tổng cộng 11 plugin Elementor add-on có các hướng dẫn về lỗ hổng, trong đó có 2 hướng dẫn được phát hành hôm nay (29 tháng 3), 2 hướng dẫn được phát hành vào ngày 28 tháng 3. Bảy hướng dẫn còn lại được phát hành trong vài ngày gần đây.

Một số plugin có nhiều hơn một lỗ hổng nên có tổng cộng 15 lỗ hổng trong mười một plugin.

Trong số mười một plugin, một plugin được xếp hạng là một lỗ hổng nghiêm trọng và phần còn lại là trung bình.

Dưới đây là danh sách các plugin được liệt kê theo thứ tự giảm dần từ mới nhất đến cũ nhất. Số bên cạnh lỗ hổng cho biết nếu chúng có nhiều hơn một lỗ hổng.

Danh Sách Plugin Elementor Add-On Có Lỗ Hổng

• ElementsKit Elementor addons (x2)
• Unlimited Elements For Elementor
• 140+ Widgets | Best Addons For Elementor
• Better Elementor Addons
• Elementor Addon Elements (x2)
• Master Addons for Elementor
• The Plus Addons for Elementor (x2)
• Essential Addons for Elementor (x2)
• Element Pack Elementor Addons
• Prime Slider – Addons For Elementor
• Move Addons for Elementor

Lỗ Hổng Nghiêm Trọng

Lỗ hổng nghiêm trọng được phát hiện trong plugin ElementsKit Elementor Addons cho WordPress đặc biệt đáng lo ngại vì có thể đặt hơn một triệu trang web vào nguy hiểm. Lỗ hổng này được xếp hạng 8.8 trên một thang điểm từ 1 đến 10.

Một phần giải thích cho sự phổ biến của nó là tính toàn diện của plugin cho phép người dùng dễ dàng sửa đổi gần như bất kỳ đặc điểm thiết kế trên trang trong các phần header, footer và menu. Nó cũng bao gồm một thư viện mẫu rộng lớn và 85 widget giúp thêm chức năng cho các trang web được tạo ra bằng nền tảng xây dựng trang web Elementor.

Các nhà nghiên cứu an ninh của Wordfence mô tả mối đe dọa lỗ hổng:

'Trong plugin ElementsKit Elementor addons cho WordPress có lỗ hổng Local File Inclusion trong tất cả các phiên bản lên đến, và bao gồm, 3.0.6 thông qua chức năng render_raw. Điều này cho phép kẻ tấn công đã xác thực, có quyền truy cập từ cấp độ người đóng góp trở lên, bao gồm và thực thi các file tùy ý trên máy chủ, cho phép thực thi bất kỳ mã PHP nào trong các file đó. Điều này có thể được sử dụng để bypass kiểm soát truy cập, lấy thông tin nhạy cảm hoặc đạt được thực thi mã trong những trường hợp mà hình ảnh và các loại file 'an toàn' khác có thể được tải lên và bao gồm.'

Hàng Triệu Website WordPress Bị Ảnh Hưởng

Những lỗ hổng có thể ảnh hưởng đến hơn 3 triệu website. Chỉ có hai trong số các plugin có tổng cộng ba triệu cài đặt hoạt động. Các trang web thường sử dụng chỉ một trong những plugin này vì có một lượng chồng chéo giữa các tính năng. Tính toàn diện của một số trong những plugin này có nghĩa là chỉ cần một plugin để truy cập các widget quan trọng để thêm sliders, menu và các yếu tố trên trang khác.

Danh Sách Plugin Có Lỗ Hổng Theo Số Lượt Cài Đặt

• Essential Addons for Elementor – 2 Triệu
• ElementsKit Elementor addons – 1 Triệu
• Unlimited Elements For Elementor – 200k
• Elementor Addon Elements – 100k
• The Plus Addons for Elementor – 100k
• Element Pack Elementor Addons – 100k
• Prime Slider – Addons For Elementor – 100k
• Master Addons for Elementor – 40k
• 140+ Widgets | Best Addons For Elementor – 10k
• Move Addons for Elementor – 3k
• Better Elementor Addons – Không Xác Định – Đóng Bởi WordPress

Hành Động Được Khuyến Nghị

Mặc dù nhiều lỗ hổng cấp độ trung bình đòi hỏi hacker phải có quyền truy cập người đóng góp để tiến hành tấn công, tốt nhất là không đánh giá thấp rủi ro do các plugin hoặc theme đã cài đặt có thể cấp cho hacker khả năng tiến hành các cuộc tấn công cụ thể này.

Thường là thông minh để kiểm tra các theme được cập nhật trước khi đẩy cập nhật lên trang web thực.

Đọc các hướng dẫn chính thức của Wordfence (với số CVE):

A. 03/29 ElementsKit Elementor addons <= 3.0.6 – Authenticated (Contributor+) Stored Cross-Site Scripting CVE-2024-1238 B. 03/29 ElementsKit Elementor addons <= 3.0.6 – Authenticated (Contributor+) Local File Inclusion in render_raw CVE-2024-2047 8.8 HIGH THREAT 03/29 Unlimited Elements For Elementor <= 1.5.96 – Authenticated (Contributor+) Stored Cross-Site Scripting via Widget Link CVE-2024-0367 3/28 140+ Widgets | Best Addons For Elementor – FREE <= 1.4.2 – Authenticated (Contributor+) Stored Cross-Site Scripting CVE-2024-2250 3/28 Better Elementor Addons <= 1.4.1 – Authenticated(Contributor+) Stored Cross-Site Scripting via widget links CVE-2024-2280 A. Elementor Addon Elements <= 1.13.1 – Authenticated (Contributor+) Stored Cross-Site Scripting CVE-2024-2091 B. Elementor Addon Elements <= 1.13.2 – Authenticated (Contributor+) DOM-Based Stored Cross-Site Scripting via ‘Text Separator and ‘Image Compare Widget CVE-2024-2792 Master Addons for Elementor <= 2.0.5.6 – Authenticated (Contributor+) Stored Cross-Site Scripting via Pricing Table Widget CVE-2024-2139 A. The Plus Addons for Elementor <= 5.4.1 – Authenticated (Contributor+) Local File Inclusion via Team Member Listing CVE-2024-2210 B. The Plus Addons for Elementor <= 5.4.1 – Authenticated (Contributor+) Local File Inclusion via Clients Widget CVE-2024-2203 A. Essential Addons for Elementor – Best Elementor Templates, Widgets, Kits & WooCommerce Builders <= 5.9.11 – Authenticated (Contributor+) Stored Cross-Site Scripting ( via the countdown widgets message parameter) CVE-2024-2623 B. Essential Addons for Elementor – Best Elementor Templates, Widgets, Kits & WooCommerce Builders <= 5.9.11 – Authenticated (Contributor+) Stored Cross-Site Scripting (via the alignment parameter in the Woo Product Carousel widget) CVE-2024-2650 Element Pack Elementor Addons <= 5.5.3 – Authenticated (Contributor+) Stored Cross-Site Scripting via link CVE-2024-30185 Prime Slider – Addons For Elementor <= 3.13.1 – Authenticated (Contributor+) Stored Cross-Site Scripting via title CVE-2024-30186 Move Addons for Elementor <= 1.2.9 – Authenticated (Contributor+) Stored Cross-Site Scripting CVE-2024-2131