Lỗ hổng Cross-Site Request Forgery có thể gây thao tác trái phép trong Elementor Website Builder

Lỗ hổng Cross-Site Request Forgery (CSRF) trong Elementor Website Builder cho phép thực hiện Cross Site Request Forgery. Vấn đề này ảnh hưởng đến Elementor Website Builder: từ n/a đến hết 4.3.1.

• Patchstack xác định Elementor Website Builder release 4.3.0 đến 4.3.1 là các release bị ảnh hưởng và xác định 4.3.2 là release đã được sửa.
• Bản ghi CNA chuẩn hóa biểu diễn phạm vi tùy chỉnh là từ n/a đến hết 4.3.1, với default_status là unaffected và một thay đổi trạng thái sang unaffected tại 4.3.2.
• Do giá trị bắt đầu n/a không xác định một lower boundary cụ thể, nên ưu tiên kiểm tra trực tiếp release đang cài đặt; 4.3.0 và 4.3.1 là các nhánh cụ thể được advisory nêu rõ.
• Các release về sau hoặc các nhánh song song chưa được các nguồn đã kiểm tra xác nhận độc lập là bị ảnh hưởng hay không bị ảnh hưởng.

Elementor Website Builder có lỗ hổng Cross-Site Request Forgery (CSRF), thuộc CWE-352. Kẻ tấn công không cần tài khoản theo thông tin của Patchstack, nhưng cần dụ một người dùng đã đăng nhập tương tác với nội dung hoặc yêu cầu do kẻ tấn công kiểm soát. Khi đó, trình duyệt của nạn nhân có thể gửi một yêu cầu ngoài ý muốn trong ngữ cảnh phiên WordPress hiện có. Chi tiết về action, endpoint, tham số và cơ chế kiểm tra request bị thiếu trong Elementor chưa được công bố, vì vậy không thể xác định chính xác thao tác nào có thể bị lạm dụng. Đánh giá được cung cấp mô tả khả năng khai thác qua mạng, độ phức tạp thấp, không yêu cầu đặc quyền của kẻ tấn công và cần user interaction.

Lỗ hổng có thể bị kích hoạt qua mạng và kẻ tấn công không cần xác thực. Việc khai thác cần user interaction, cụ thể là một người dùng đã đăng nhập thực hiện hành động như nhấp liên kết độc hại, truy cập trang được tạo sẵn hoặc gửi form. Thông tin được cung cấp không có public exploit cụ thể. Bản ghi chuẩn hóa không đánh dấu known exploitation và phần làm giàu dữ liệu của CISA hiển thị trạng thái exploitation là none, nhưng trang Patchstack hiện hiển thị nhãn “Known to be exploited! (KEV)”. Do các nguồn này không nhất quán, trạng thái khai thác thực tế nên được xem là chưa được giải quyết, không nên coi việc thiếu PoC công khai là bằng chứng an toàn.

Khai thác thành công có thể khiến một người dùng đã đăng nhập thực hiện thao tác thay đổi trạng thái mà họ không chủ ý. Đánh giá được cung cấp cho thấy tác động tiềm tàng đến confidentiality, integrity và availability đều ở mức cao, nhưng tác động thực tế phụ thuộc vào action cụ thể bị lộ trong thành phần Elementor. Scope được đánh giá là unchanged, nên hậu quả dự kiến vẫn nằm trong phạm vi website và quyền của hệ thống đang xử lý request. Không có bằng chứng trong các nguồn đã kiểm tra để khẳng định dữ liệu đã bị truy cập, nội dung đã bị sửa hoặc dịch vụ đã bị gián đoạn.

Một website bị ảnh hưởng có thể tiếp nhận các yêu cầu thay đổi trạng thái dưới quyền của người dùng đã đăng nhập mà người dùng không chủ ý thực hiện. Tùy action bị ảnh hưởng, điều này có thể dẫn đến thay đổi trái phép đối với nội dung, cấu hình, dữ liệu liên quan đến tài khoản hoặc trạng thái do plugin quản lý. Các thay đổi như vậy có thể tạo ra chi phí khôi phục, gián đoạn quy trình quản trị và yêu cầu điều tra audit log. Nguồn hiện có không xác định một kịch bản xâm phạm dữ liệu, website cụ thể hoặc breach cụ thể, nên không nên suy diễn rằng các hậu quả này đã xảy ra.

1. Nâng cấp plugin WordPress Elementor Website Builder lên release 4.3.2, là release được CNA và Patchstack xác nhận đã sửa lỗ hổng.
2. Nếu chưa thể cập nhật ngay, Patchstack cho biết đã cung cấp mitigation rule để chặn các cuộc tấn công cho đến khi hoàn tất cập nhật. Cần xác minh rule đã được bật và áp dụng đúng cho các website liên quan.
3. Sau khi cập nhật, kiểm tra lại inventory để bảo đảm không còn bản bị ảnh hưởng trong các môi trường production, staging hoặc backup có thể được khôi phục.
4. Không suy luận rằng mọi release về sau hoặc mọi nhánh song song đều an toàn chỉ từ việc 4.3.2 đã được sửa; hãy xác minh trạng thái của từng nhánh với thông tin từ nhà cung cấp.

1. Kiểm kê các website WordPress có cài plugin elementor và xác định release đang được triển khai.
2. Đối chiếu release thực tế với các nhánh bị ảnh hưởng và bản đã sửa trong affected_summary và remediation.
3. Rà soát audit log của WordPress và Elementor để tìm các thay đổi bất thường về nội dung, cấu hình, tài khoản hoặc trạng thái plugin xảy ra sau khi người dùng truy cập nội dung bên ngoài hoặc gửi form.
4. Xem xét các sự kiện có nguồn gốc từ request liên site hoặc hoạt động của người dùng không phù hợp với ý định đã biết. Đây là biện pháp giám sát phòng ngừa, không phải IOC được xác nhận cho lỗ hổng này.
5. Không xem việc không có sự kiện đáng ngờ trong log là bằng chứng rằng hệ thống không bị ảnh hưởng hoặc chưa từng bị khai thác.