⚠️ Якщо у вас сайт на WordPress з Elementor — є нюанс, про який варто знати прямо зараз.

Я натрапив на історію, де в Elementor 4.3.0–4.3.1 знайшли дірку: зловмисник може створити собі адміна, якщо чинний адмін просто клікне по хитро зібраному лінку, будучи залогіненим. Без JS, без форм, просто посилання в пошті чи чаті — і все 🧨

Фішка в тому, що модуль Editor Events фактично вимикає CSRF-захист для REST API, якщо в URI є elementor/v1/events/. Потенційно це б’є не лише по самому Elementor, а й по іншим REST-ендпоінтам сайту, включно з /wp/v2/users. Патч уже є в версії 4.3.2, тож оновлення — must have 🛡️

Що я раджу: перевірити, яка версія Elementor стоїть, оновити до 4.3.2, глянути список адміністраторів і, по можливості, журнали запитів (особливо з elementor/v1/events/ у рядку запиту). Мені здається, це якраз той кейс, коли краще перебздити, ніж недобздити 🙂 Ви вже оновили свої сайти чи ще тягнете до “планового обслуговування”?

🤔

🔗 Докладніше:
https://cybersecurefox.com/uk/csrf-uyazvimost-elementor-zakhvat-sajta-cherez-ssylku

#wordpress #безпека #elementor #csrf #websecurity #адмін

CyberSecureFox