Nel plugin WordPress OptinMonster, che conta oltre un milione di installazioni attive e viene utilizzato per la gestione della visualizzazione di notifiche e offerte pop-up, è stata identificata una vulnerabilità (CVE-2021-39341) che consente di inserire codice JavaScript nel sito che utilizza il suddetto plugin. La vulnerabilità è stata risolta con il rilascio della versione 2.6.5. Per bloccare l'accesso tramite chiavi compromesse dopo l'installazione dell'aggiornamento, gli sviluppatori di OptinMonster hanno annullato tutte le chiavi API precedentemente create e hanno aggiunto restrizioni all'uso delle chiavi sui siti WordPress per modificare le campagne OptinMonster.
Il problema è causato dalla presenza del REST-API /wp-json/omapp/v1/support, accessibile senza autenticazione: la richiesta veniva eseguita senza ulteriori controlli se nel header Referer era presente la stringa "https://wp.app.optinmonster.test" e se il tipo di richiesta HTTP era impostato su "OPTIONS" (questo veniva sovrascritto tramite l'header HTTP "X-HTTP-Method-Override"). Tra i dati restituiti durante la chiamata a questo REST-API vi era una chiave di accesso che permetteva di inviare richieste a qualsiasi gestore del REST-API.
Utilizzando la chiave ottenuta, un attaccante poteva modificare qualsiasi popup visualizzato tramite OptinMonster, incluso l'esecuzione del proprio codice JavaScript. Ottenendo la possibilità di eseguire il proprio codice JavaScript nel contesto del sito, l'attaccante poteva reindirizzare gli utenti al proprio sito o compromettere un conto privilegiato nell'interfaccia web quando l'amministratore del sito eseguiva il codice JavaScript inserito. Avendo accesso all'interfaccia web, l'attaccante poteva eseguire il proprio codice PHP su server.
Fonte: opennet.ru
