Vulnerabilitatea pluginului Elementor Ally afectează peste 250.000 de site-uri WordPress

O vulnerabilitate de tip SQL injection în Ally, un plugin WordPress de la Elementor pentru accesibilitate și utilizabilitate web, cu peste 400.000 de instalări, ar putea fi exploatată pentru a sustrage date sensibile fără autentificare.

Vulnerabilitatea, urmărită ca CVE-2026-2413, a primit un grad de severitate high și un scor CvSS de 7.5/10.

Vulnerabilitățile de tip SQL injection există de mai bine de 25 de ani și continuă să reprezinte o amenințare și în prezent, în ciuda faptului că sunt bine înțelese și ușor de remediat și evitat din punct de vedere tehnic. Acest tip de problemă de securitate apare atunci când datele introduse de utilizator sunt inserate direct într-o interogare a bazei de date SQL fără o filtrare sau parametrizare adecvată.

Acest lucru permite unui atacator să injecteze comenzi SQL care modifică comportamentul interogării pentru a citi, modifica sau șterge informații din baza de date.

CVE-2026-2413 afectează toate versiunile Ally până la 4.0.3 și permite unui atacator neautentificat să injecteze interogări SQL prin calea URL din cauza gestionării necorespunzătoare a unui parametru URL furnizat de utilizator într-o funcție critică.

Wordfence menționează că exploatarea vulnerabilității este posibilă numai dacă pluginul este conectat la un cont Elementor și modulul său Remediation este activ.

Elementor a remediat problema în versiunea 4.1.0, fiind cea mai recentă.

Pe lângă actualizarea Ally la versiunea 4.1.0, administratorilor de site-uri li se recomandă, de asemenea, să instaleze cea mai recentă actualizare de securitate pentru WordPress, lansată recent.

WordPress 6.9.2 remediază 10 vulnerabilități, inclusiv erori de tip cross-site request (XSS), server-side request forgery (SSRF) și ocolirea autorizării. Se recomandă instalarea imediată a noii versiuni a platformei.

Sursă: https://www.bleepingcomputer.com/news/security/sqli-flaw-in-elementor-ally-plugin-impacts-250k-plus-wordpress-sites/