Уязвимост, позволяваща подмяна на JavaScript код чрез WordPress плъгина OptinMonster

В плъгина за WordPress OptinMonster, който има над милион активни инсталации и се използва за създаване на изскачащи известия и предложения, е открита уязвимост (CVE-2021-39341), позволяваща внедряване на собствен JavaScript код на сайт, използващ този плъгин. Уязвимостта е отстранена в версия 2.6.5. За предотвратяване на достъпа чрез компрометирани ключове след инсталирането на актуализацията, разработчиците на OptinMonster анулираха всички предишно създадени ключове за достъп до API и добавиха ограничения за използването на ключове от WordPress сайтове за промяна на кампании в OptinMonster.

Проблемът е причинен от наличието на REST-API /wp-json/omapp/v1/support, достъпът до който беше възможен без автентикация — заявката се изпълняваше без допълнителни проверки, при наличие в заглавието Referer на стринга "https://wp.app.optinmonster.test" и при задаване на типа HTTP заявка на "OPTIONS" (пренастройва се чрез HTTP заглавието "X-HTTP-Method-Override"). Сред данните, връщани при извикване на разглеждания REST-API, имаше ключ за достъп, позволяващ изпращане на заявки до всякакви обработчици на REST-API.

С получените ключ атакуващият можеше да извършва промени в произволни изскачащи блокове, показвани чрез OptinMonster, включително да организира изпълнение на свой JavaScript код. Получавайки възможността да изпълни своя JavaScript код в контекста на сайта, атакуващият можеше да пренасочва потребителите към свой сайт или да организира замяна на привилегирован акаунт в уеб интерфейса при изпълнение на подменения JavaScript код от администратора на сайта. Има достъп до уеб интерфейса, атакуващият можеше да постигне изпълнение на своя PHP код на сървър.

Източник: opennet.ru