Vulnerabilidad en Elementor Pro versión 3.11.6 y anteriores | Hacker aprovechan vulnerabilidad de Plugin de WordPress

Hackers están aprovechando activamente una vulnerabilidad de alta severidad en el popular plugin Elementor Pro de WordPress para instalar puertas traseras en sitios web.

Elementor Pro es un plugin de construcción de páginas para WordPress que permite a los usuarios crear sitios web profesionales sin necesidad de conocer programación, ofreciendo funciones de arrastrar y soltar, creación de temas, una colección de plantillas, soporte para widgets personalizados y un constructor de WooCommerce para tiendas en línea.

Esta vulnerabilidad fue descubierta por el investigador de NinTechNet, Jerome Bruandet, el 18 de marzo de 2023, quien compartió detalles técnicos esta semana sobre cómo se puede explotar el error cuando se instala junto con WooCommerce.

El problema, que afecta a la versión 3.11.6 y todas las versiones anteriores, permite a usuarios autenticados, como clientes de tiendas o miembros del sitio, cambiar la configuración del sitio e incluso tomar el control completo del sitio.

El investigador explicó que la falla se relaciona con un control de acceso defectuoso en el módulo WooCommerce del plugin («elementor-pro/modules/woocommerce/module.php»), lo que permite a cualquiera modificar las opciones de WordPress en la base de datos sin una validación adecuada.

La falla se explota a través de una acción AJAX vulnerable, «pro_woocommerce_update_page_option,» que sufre de una validación de entrada mal implementada y la falta de comprobaciones de capacidad.

«Un atacante autenticado puede aprovechar la vulnerabilidad para crear una cuenta de administrador habilitando el registro y estableciendo el rol predeterminado como ‘administrador’, cambiar la dirección de correo electrónico del administrador o redirigir todo el tráfico a un sitio web malicioso externo cambiando ‘siteurl’, entre muchas otras posibilidades», explicó Bruandet en un informe técnico sobre el error.

Es importante señalar que para que se explote esta falla en particular, el plugin WooCommerce también debe estar instalado en el sitio, lo que activa el módulo vulnerable correspondiente en Elementor Pro.

Error del plugin de Elementor explotado activamente

La empresa de seguridad de WordPress, PatchStack, informa ahora que los hackers están aprovechando activamente esta vulnerabilidad del plugin Elementor Pro para redirigir a los visitantes a dominios maliciosos («away[.]trackersline[.]com») o cargar puertas traseras en el sitio comprometido.

PatchStack dice que las puertas traseras cargadas en estos ataques se llaman wp-resortpark.zip, wp-rate.php o lll.zip.

Aunque no se proporcionaron muchos detalles sobre estas puertas traseras, BleepingComputer encontró una muestra del archivo lll.zip, que contiene un script PHP que permite a un atacante remoto cargar archivos adicionales en el servidor comprometido.

Esta puerta trasera permitiría al atacante obtener acceso completo al sitio de WordPress, ya sea para robar datos o instalar código malicioso adicional.

PatchStack dice que la mayoría de los ataques dirigidos a sitios web vulnerables provienen de las siguientes tres direcciones IP, por lo que se sugiere agregarlas a una lista de bloqueo:

  • 193.169.194.63
  • 193.169.195.64
  • 194.135.30.6

Si su sitio utiliza Elementor Pro, es imperativo actualizarlo a la versión 3.11.7 o posterior (la última disponible es la 3.12.0) lo antes posible, ya que los hackers ya están apuntando a sitios web vulnerables.

La semana pasada, WordPress actualizó forzadamente el plugin WooCommerce Payments para tiendas en línea para abordar una vulnerabilidad crítica que permitía a atacantes no autenticados obtener acceso de administrador a sitios vulnerables.

Actualización 10/04/23: Título y artículo actualizados para eliminar la referencia a los 11 millones. Este número es el total de usuarios que utilizan tanto la versión gratuita como la pro. Gracias a PluginVulnerabilities por la corrección.

Tu valoración: ¿Qué te ha parecido el artículo?

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Scroll al inicio