تم التعرف على ثغرة أمنية (CVE-2021-39341) في الوظيفة الإضافية OptinMonster WordPress، والتي تحتوي على أكثر من مليون عملية تثبيت نشطة وتستخدم لتنظيم عرض الإشعارات والعروض المنبثقة. تم إصلاح الثغرة الأمنية في الإصدار 2.6.5. لمنع الوصول عبر المفاتيح التي تم التقاطها بعد تثبيت التحديث، قام مطورو OptinMonster بإلغاء جميع مفاتيح الوصول إلى واجهة برمجة التطبيقات التي تم إنشاؤها مسبقًا وإضافة قيود على استخدام مفاتيح موقع WordPress لتعديل حملات OptinMonster.
سبب المشكلة هو وجود REST-API /wp-json/omapp/v1/support، والذي يمكن الوصول إليه دون مصادقة - تم تنفيذ الطلب دون فحوصات إضافية إذا كان رأس المُحيل يحتوي على السلسلة "https://wp. app.optinmonster.test" وعند تعيين نوع طلب HTTP على "OPTIONS" (يتم تجاوزه برأس HTTP "X-HTTP-Method-Override"). من بين البيانات التي تم إرجاعها عند الوصول إلى REST-API المعنية، كان هناك مفتاح وصول يسمح لك بإرسال الطلبات إلى أي معالجات REST-API.
باستخدام المفتاح الذي تم الحصول عليه، يمكن للمهاجم إجراء تغييرات على أي كتل منبثقة تظهر باستخدام OptinMonster، بما في ذلك تنظيم تنفيذ تعليمات JavaScript البرمجية الخاصة به. بعد أن تمكن المهاجم من تنفيذ تعليمات برمجية JavaScript الخاصة به في سياق الموقع، يمكن للمهاجم إعادة توجيه المستخدمين إلى موقعه أو تنظيم استبدال حساب مميز في واجهة الويب عندما يقوم مسؤول الموقع بتنفيذ تعليمات برمجية JavaScript بديلة. من خلال الوصول إلى واجهة الويب، يمكن للمهاجم تنفيذ كود PHP الخاص به على الخادم.
المصدر: opennet.ru