A WordPress-bővítményben, az OptinMonsterben, amely több mint egymillió aktív telepítéssel rendelkezik és a felugró értesítések és ajánlatok megjelenítésére szolgál, egy sérülékenységet (CVE-2021-39341) fedeztek fel, amely lehetővé teszi saját JavaScript-kód beillesztését az adott bővítményt használó weboldalakon. A sérülékenységet a 2.6.5-ös verzióban orvosolták. Az OptinMonster fejlesztői a frissítés telepítése után visszavonták az összes korábban létrehozott API-kulcsot és korlátozásokat vezettek be a WordPress-oldalak API-kulcsainak használatára vonatkozóan az OptinMonster kampányok módosításában.
A probléma a REST-API /wp-json/omapp/v1/support létezéséből adódik, amelyhez autentikálás nélkül lehetett hozzáférni – a kérés további ellenőrzések nélkül került végrehajtásra, ha a Referer fejlécben a "https://wp.app.optinmonster.test" szöveg szerepelt, és az HTTP-kérdés típusa "OPTIONS" volt (ezt az "X-HTTP-Method-Override" HTTP-fejléc segítségével helyettesítik). A vizsgált REST-API hívása során visszakapott adatok között szerepelt egy hozzáférési kulcs, amely lehetővé tette a REST-API bármely kezelőjének hívását.
A megszerzett kulccsal a támadó módosíthatta az OptinMonster által megjelenített bármely felugró blokkot, beleértve saját JavaScript-kódjának futtatását is. Ha a támadó lehetőséget kapott saját JavaScript-kódja végrehajtására a weboldal kontextusában, átirányíthatta a felhasználókat a saját webhelyére, vagy manipulálhatta a webes felület privilegizált fiókját a beillesztett JavaScript-kód által történő adminisztrátori végrehajtással. A webes felülethez való hozzáféréssel a támadó PHP-kódját is végrehajthatta. szerveren.
Forrás: opennet.ru
