Εμπειρογνώμονες ασφαλείας από την Wordfence ανακάλυψαν δύο ευπάθειες στο plugin “Orbit Fox” του WordPress. Πρόκειται για μια ευπάθεια κλιμάκωσης προνομίων και ένα σφάλμα cross-site scripting (XSS) που επηρεάζουν πάνω από 40.000 εγκαταστάσεις. Το plugin “Orbit Fox”, που επιτρέπει στους διαχειριστές websites να προσθέτουν λειτουργίες όπως φόρμες εγγραφής και widgets, είναι εγκατεστημένο σε πάνω από 400.000 websites.
Το plugin αναπτύχθηκε από το ThemeIsle με στόχο την βελτίωση των editors Elementor, Beaver Builder και Gutenberg, και εφαρμόζει πρόσθετα χαρακτηριστικά.
Χάκερς μπορούν να εκμεταλλευτούν τις δύο ευπάθειες για να εισάγουν κακόβουλο κώδικα σε websites που χρησιμοποιούν την ευάλωτη έκδοση του plugin, και να αναλάβουν τον έλεγχό τους.
Όπως αναφέρει το Security Affairs, η ευπάθεια κλιμάκωσης προνομίων αξιολογήθηκε ως «κρίσιμη» και έλαβε βαθμολογία σοβαρότητας 9,9/10. Επιπλέον το σφάλμα XSS επιτρέπει σε χάκερς να εισάγουν JavaScript σε posts. Συγκεκριμένα, οι χάκερς θα μπορούσαν να εκμεταλλευτούν αυτό το σφάλμα για να πραγματοποιήσουν πολλαπλές κακόβουλες ενέργειες, όπως επιθέσεις κακόβουλων διαφημίσεων. Το σφάλμα έχει αξιολογηθεί ως «μεσαίας σοβαρότητας» κι έχει λάβει βαθμολογία 6,4/10.
Το plugin “Orbit Fox” περιλαμβάνει ένα widget εγγραφής που μπορεί να χρησιμοποιηθεί για τη δημιουργία μιας φόρμας εγγραφής με προσαρμόσιμα πεδία όταν κάποιος χρησιμοποιεί τα plugins “Elementor” και “Beaver Builder”. Κατά τη δημιουργία της φόρμας εγγραφής, το plugin παρέχει τη δυνατότητα ορισμού ενός προεπιλεγμένου ρόλου που θα χρησιμοποιείται κάθε φορά που ένας χρήστης εγγράφεται χρησιμοποιώντας τη φόρμα.
Επιπλέον, οι εμπειρογνώμονες επεσήμαναν ότι η έλλειψη επικύρωσης από την πλευρά του server στο Orbit Fox επιτρέπει στους χρήστες «χαμηλότερου επιπέδου» (authors, editors κτλ.) να ορίσουν το ρόλο τους ως διαχειριστή κατά την επιτυχή εγγραφή.
Επίσης, η Wordfence σημείωσε ότι για να εκμεταλλευτούν χάκερς τις ευπάθειες, θα πρέπει η εγγραφή χρηστών να είναι ενεργοποιημένη και το website να εκτελεί τα plugins Elementor ή Beaver Builder.
Αυτή η ευπάθεια επέτρεψε στους χρήστες χαμηλότερου επιπέδου να προσθέσουν κακόβουλη JavaScript σε posts που θα εκτελούταν στο πρόγραμμα περιήγησης κάθε φορά που ένας χρήστης περιηγείτο σε αυτήν τη σελίδα.
Οι δύο ευπάθειες μετριάστηκαν με την κυκλοφορία της έκδοσης 2.10.3.
Οι ευπάθειες στα plugins του WordPress είναι πολύ επικίνδυνες και θα μπορούσαν να επιτρέψουν σε κυβερνοεγκληματίες να πραγματοποιήσουν επιθέσεις μεγάλης κλίμακας. Τον Δεκέμβριο, η ομάδα ανάπτυξης του plugin “Contact Form 7” του WordPress αποκάλυψε μια «απεριόριστη» ευπάθεια μεταφόρτωσης αρχείων. Πρόκειται για ένα plugin που έχει πάνω από 5 εκατομμύρια ενεργές εγκαταστάσεις.
Επίσης, τον Νοέμβριο, χάκερς εκμεταλλεύτηκαν μια zero-day ευπάθεια στο δημοφιλές plugin “Easy WP SMTP” του WordPress που είναι εγκατεστημένο σε πάνω από 500.000 sites. Την ίδια περίοδο χάκερς εκμεταλλεύτηκαν μια κρίσιμη ευπάθεια εκτέλεσης απομακρυσμένου κώδικα στο plugin “File Manager”, με αποτέλεσμα να εκτεθούν πάνω από 300.000 WordPress websites.
