Sicherheitslücke in Elementor für WordPress könnte Angreifern das Erstellen von Administratorkonten ermöglichen

Eine Elementor WordPress-Sicherheitslücke könnte es Angreifern ermöglichen, Administratorkonten zu erstellen, nachdem ein angemeldeter Website-Administrator einen schädlichen Link öffnet. Das Problem betrifft die Elementor-Versionen 4.3.0 und 4.3.1. Elementor hat es in Version 4.3.2 behoben.

Schädlicher Link nutzt die Sitzung eines Administrators

Die Sicherheitslücke betrifft Cross-Site Request Forgery oder CSRF. Ein Angreifer benötigt kein Konto auf der betroffenen Website. Stattdessen muss er jemanden, der bereits angemeldet ist, dazu bringen, einen speziell präparierten Link zu öffnen.

Die Anfrage läuft anschließend über die authentifizierte WordPress-Sitzung dieser Person. Dadurch kann sie Aktionen ausführen, die das Konto der Person erlaubt. Wenn das Opfer über Administratorrechte verfügt, kann der Angreifer bei einer Standardinstallation ein neues Administratorkonto erstellen.

Laut dem Sicherheitsunternehmen Patchstack könnte ein Angreifer den Link über eine E-Mail, Chatnachricht oder einen Website-Kommentar verbreiten. Der Angriff erfordert keine separate schädliche Webseite, kein JavaScript und keine Formularübermittlung.

Elementor überprüft den falschen Teil der Anfrage

Patchstack führte die Elementor WordPress-Sicherheitslücke auf das Editor-Events-Modul des Plugins zurück. Das Modul überprüfte die rohe Anfrageadresse auf einen Elementor-Events-Pfad, bevor es die Nonce-Validierung der WordPress REST API umging.

Ein Angreifer konnte diesen Pfad jedoch in einem Abfrageparameter platzieren und die Anfrage gleichzeitig an einen anderen REST-API-Endpunkt richten. Elementor übersprang dann die Validierungsprüfung für eine Anfrage außerhalb der vorgesehenen Events-Route.

Der Angriff hängt weiterhin davon ab, dass ein angemeldeter Benutzer den Link öffnet. Welche Aktionen dem Angreifer zur Verfügung stehen, hängt außerdem von den Berechtigungen dieses Benutzers ab. Daher stellt ein Administratorkonto den schwerwiegendsten Fall dar.

Version 4.3.2 schließt die Umgehungsmöglichkeit

Ein unter dem Namen Saggre bekannter Sicherheitsforscher meldete das Problem an Patchstack, das Elementor am 22. September informierte. Elementor veröffentlichte Version 4.3.2 am 24. September.

Das Update überprüft die aufgelöste REST-API-Route, anstatt die rohe Anfrageadresse zu durchsuchen. Dadurch kann ein Angreifer die Umgehung nicht mehr auslösen, indem er den Events-Pfad zu einem Query-String hinzufügt.

Website-Betreiber, die Elementor 4.3.0 oder 4.3.1 verwenden, sollten auf Version 4.3.2 oder neuer aktualisieren. Frühere Versionen enthalten dieses spezielle anfällige Modul nicht, könnten jedoch andere Sicherheitslücken aufweisen.