Vulnerabilitate critică în add-on-ul WordPress pentru Elementor

Atacatorii exploatează o vulnerabilitate critică de escaladare a privilegiilor (CVE-2025–8489) în plugin-ul King Addons for Elementor din WordPress, care le permite să obțină permisiuni administrative în timpul procesului de înregistrare.

King Addons este un add-on terț pentru Elementor, un plugin popular de creare vizuală a paginilor pentru site-urile WordPress. Este utilizat pe aproximativ 10.000 de site-uri web, oferind widget-uri, șabloane și funcții suplimentare.

CVE-2025–8489 este o vulnerabilitate în modulul de înregistrare al plugin-ului ce permite oricărei persoane care se înregistrează să își specifice rolul de utilizator pe site-ul web, inclusiv rolul de administrator, fără a impune restricții.

Conform observațiilor Wordfence, atacatorii trimit o cerere admin-ajax.php special creată, specificând user_role=administrator, pentru a crea conturi de administrator neautorizare pe site-urile vizate.

Wordfence oferă o listă mai extinsă de adrese IP rău intenționate și recomandă administratorilor de site-uri web să le caute în fișierele jurnal. Prezența unor conturi noi de administrator este, de asemenea, un semn clar de compromitere.

Administratorii site-urilor web sunt sfătuiți să actualizeze la versiunea 51.1.35 a King Addons, care remediază vulnerabilitatea CVE-2025–8489, lansată pe 25 septembrie.

Specialiștii Wordfence avertizează, de asemenea, asupra unei alte vulnerabilități critice în pluginul Advanced Custom Fields: Extended, activ în peste 100.000 de site-uri web WordPress, care poate fi exploatată de un atacator neautentificat pentru a executa cod de la distanță.

Vulnerabilitatea afectează versiunile 0.9.0.5 până la 0.9.1.1 ale plugin-ului și este în prezent înregistrată ca CVE-2025-13486.

Vulnerabilitatea se datorează funcției care acceptă introducerea de date de către utilizator și apoi le transmite prin call_user_func_array(), explică Wordfence.

Acest lucru permite atacatorilor neautentificați să execute cod arbitrar pe server, care poate fi utilizat pentru a injecta backdoor-uri sau pentru a crea noi conturi de utilizator cu drepturi de administrator.

Furnizorul plugin-ului a remediat vulnerabilitatea în versiunea 0.9.2 a Advanced Custom Fields: Extended, lansată la o zi după primirea raportului de vulnerabilitate.

Administratorilor de site-uri web li se recomandă să treacă la cea mai recentă versiune cât mai curând posibil sau să dezactiveze pluginul pe site-urile lor.

Sursă: https://www.bleepingcomputer.com/news/security/critical-flaw-in-wordpress-add-on-for-elementor-exploited-in-attacks/