Los complementos Plus para la vulnerabilidad crítica de Elementor

Se ha descubierto una vulnerabilidad de día cero en los complementos de WordPress Plus para Elementor. El exploit permite la adquisición de un sitio completo. Los investigadores de seguridad recomiendan deshabilitar inmediatamente el complemento para evitar ser pirateado.

El exploit no está presente en Elementor en sí, está en un complemento popular que extiende Elementor.

Vulnerabilidad de día cero

Una vulnerabilidad de día cero es una vulnerabilidad que los piratas informáticos conocen pero para la que el desarrollador de software no tiene un parche para detenerla.

Normalmente se descubre una vulnerabilidad y el desarrollador de software tiene tiempo para corregirla antes de que los piratas informáticos descubran la falla.

En un escenario típico de vulnerabilidad de día cero, los piratas informáticos conocen la falla y la explotan activamente mientras los desarrolladores de software se apresuran a descubrir cuál es la vulnerabilidad.

Esta es la razón por la que las vulnerabilidades de día cero se consideran de gran preocupación porque los sitios web pueden ser pirateados en el tiempo que transcurre entre que se descubre la vulnerabilidad y se lanza un parche.

Los complementos Plus para Elementor Exploit

Plus Addons para Elementor es un conjunto de más de cien widgets, plantillas y bloques que amplían las posibilidades de diseño para los sitios que utilizan el complemento de creación de páginas de Elementor.

Elementor es un complemento de creación de páginas que amplía el editor nativo de WordPress para facilitar la creación de sitios web atractivos.

Sin embargo, la vulnerabilidad no está en Elementor. La vulnerabilidad existe en un complemento que amplía las capacidades de diseño de Elementor.

¿Qué son los complementos Plus para la vulnerabilidad de Elementor?

Hay dos tipos de complementos Plus para complementos de Elementor. Hay una versión gratuita y una de pago.

El defecto no existe en la versión gratuita. Entonces, si está operando con la versión gratuita del complemento, entonces su sitio es seguro.

La versión de pago del complemento no es segura.

La versión paga del complemento Plus es vulnerable

Según los investigadores de seguridad de Wordfence, los módulos de widget de registro e inicio de sesión del complemento son el vector de ataque.

“Si está utilizando el complemento Plus Addons para Elementor, le recomendamos encarecidamente que desactive y elimine el complemento por completo hasta que se corrija esta vulnerabilidad. Si la versión gratuita es suficiente para sus necesidades, puede cambiar a esa versión por el momento.

Si la funcionalidad de su sitio depende de este complemento, le recomendamos que elimine por completo cualquier registro o widgets de inicio de sesión agregados por el complemento y deshabilite el registro en su sitio. No hay una versión parcheada disponible en el momento de esta publicación ".

Más tarde se descubrió que deshabilitar el widget WP Login & Register no es suficiente para evitar ser pirateado.

“… Las vulnerabilidades siguen siendo explotables incluso si el widget" WP Login & Register "está desactivado. Por ese motivo, recomendamos desactivar y eliminar temporalmente el complemento hasta que se publique un parche ".

Se está preparando un parche, pero actúe ahora

El desarrollador del complemento está trabajando duro para crear un parche. Se lanzó rápidamente un parche inicial, pero los investigadores de WordFence confirmaron que no fortaleció completamente el complemento contra el exploit.

Tomar medidas ahora

Como se relató anteriormente, Wordfence recomienda desactivar y eliminar completamente el complemento. Si hay funciones del sitio que dependen del complemento, es posible instalar la versión gratuita temporalmente hasta que se publique un parche.

Puede que no sea prudente arriesgarse y esperar un parche porque la falla se está explotando activamente.