Kerentanan (CVE-2021-39341) wis diidentifikasi ing add-on OptinMonster WordPress, sing duwe luwih saka sejuta panginstalan aktif lan digunakake kanggo nampilake kabar lan tawaran pop-up, ngidini sampeyan nyelehake kode JavaScript ing situs. nggunakake tambahan sing ditemtokake. Kerentanan diatasi ing release 2.6.5. Kanggo mblokir akses liwat tombol sing dijupuk sawise nginstal nganyari, pangembang OptinMonster mbatalake kabeh kunci akses API sing digawe sadurunge lan nambahake watesan babagan panggunaan tombol situs WordPress kanggo ngowahi kampanye OptinMonster.
Masalah kasebut disebabake dening ananΓ© REST-API /wp-json/omapp/v1/support, sing bisa diakses tanpa otentikasi - panjaluk kasebut ditindakake tanpa mriksa tambahan yen header Referer ngemot string "https: // wp .app.optinmonster.testβ lan nalika nyetel jinis request HTTP kanggo "OPTIONS" (diganti dening header HTTP "X-HTTP-Method-Override"). Ing antarane data sing bali nalika ngakses REST-API sing dimaksud, ana kunci akses sing ngidini sampeyan ngirim panjaluk menyang panangan REST-API.
Nggunakake tombol sing dipikolehi, panyerang bisa ngganti blok pop-up sing ditampilake nggunakake OptinMonster, kalebu ngatur eksekusi kode JavaScript. Sawise entuk kesempatan kanggo nglakokake kode JavaScript ing konteks situs kasebut, panyerang bisa ngarahake pangguna menyang situs kasebut utawa ngatur substitusi akun sing duwe hak istimewa ing antarmuka web nalika administrator situs ngeksekusi kode JavaScript sing diganti. Duwe akses menyang antarmuka web, panyerang bisa entuk eksekusi kode PHP ing server.
Source: opennet.ru