Vulnerabilità nel Plugin WordPress Elementor Widgets Add-On

Un add-on di plugin per WordPress, utilizzato con il popolare costruttore di pagine Elementor, ha recentemente corretto una vulnerabilità che coinvolgeva oltre 200.000 installazioni. L’exploit, scoperto nel plugin Jeg Elementor Kit, consente a utenti autenticati di caricare script dannosi.

### Cross-Site Scripting memorizzato (Stored XSS)

La patch ha risolto un problema che poteva portare a un exploit di Cross-Site Scripting memorizzato che consente a un attaccante di caricare file dannosi su un server di un sito web, dove possono essere attivati quando un utente visita la pagina web. Questo è diverso da un XSS riflesso, che richiede a un amministratore o a un altro utente di essere ingannato per fare clic su un link che innesca l’exploit. Entrambi i tipi di XSS possono portare al controllo completo del sito.

### Sanitizzazione insufficiente ed escape output

Wordfence ha pubblicato una nota che ha evidenziato che la fonte della vulnerabilità risiede in una mancanza nella pratica di sicurezza conosciuta come sanitizzazione, che è uno standard che richiede a un plugin di filtrare ciò che un utente può inserire nel sito web. Quindi se un’immagine o testo è ciò che ci si aspetta, allora tutti gli altri tipi di input devono essere bloccati.

Un’altra problematica risolta riguardava una pratica di sicurezza chiamata Output Escaping, un processo simile alla filtrazione che si applica a ciò che il plugin stesso produce in output, impedendogli di produrre, ad esempio, uno script dannoso. In pratica, converte i caratteri che potrebbero essere interpretati come codice, evitando che il browser dell’utente interpreti l’output come codice ed esegua uno script dannoso.

L’avviso di Wordfence spiega:

> “Il plugin Jeg Elementor Kit per WordPress è vulnerabile al Cross-Site Scripting memorizzato tramite il caricamento di file SVG in tutte le versioni fino e comprese 2.6.7 a causa di una sanitizzazione insufficiente dell’input e di un output escaping. Ciò rende possibile per utenti autenticati, con accesso di autore e superiore, iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede al file SVG.”

### Minaccia di livello medio

La vulnerabilità ha ricevuto un punteggio di minaccia di livello medio di 6.4 su una scala da 1 a 10. Si consiglia agli utenti di aggiornare alla versione 2.6.8 di Jeg Elementor Kit (o superiore se disponibile).

Leggi l’avviso di Wordfence [qui](https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/jeg-elementor-kit/jeg-elementor-kit-267-authenticated-author-stored-cross-site-scripting-via-svg-file).

Immagine in evidenza di Shutterstock/Cast Of Thousands.