ऑप्टिनमॉन्स्टर वर्डप्रेस अॅड-ऑनमध्ये एक भेद्यता (CVE-2021-39341) ओळखली गेली आहे, ज्यामध्ये एक दशलक्षाहून अधिक सक्रिय इंस्टॉलेशन्स आहेत आणि पॉप-अप सूचना आणि ऑफर प्रदर्शित करण्यासाठी वापरली जातात, ज्यामुळे तुम्हाला तुमचा JavaScript कोड साइटवर ठेवता येतो. निर्दिष्ट अॅड-ऑन वापरून. रिलीझ 2.6.5 मध्ये भेद्यता निश्चित केली गेली. अपडेट स्थापित केल्यानंतर कॅप्चर केलेल्या की द्वारे प्रवेश अवरोधित करण्यासाठी, OptinMonster विकासकांनी पूर्वी तयार केलेल्या सर्व API प्रवेश की रद्द केल्या आणि OptinMonster मोहिमेमध्ये सुधारणा करण्यासाठी WordPress साइट की वापरण्यावर निर्बंध जोडले.
REST-API /wp-json/omapp/v1/support च्या उपस्थितीमुळे समस्या उद्भवली, ज्यामध्ये प्रमाणीकरणाशिवाय प्रवेश केला जाऊ शकतो - रेफरर शीर्षलेखामध्ये “https://wp” ही स्ट्रिंग असल्यास अतिरिक्त तपासणीशिवाय विनंती अंमलात आणली गेली .app.optinmonster.test” आणि HTTP विनंती प्रकार "OPTIONS" वर सेट करताना (HTTP शीर्षलेख "X-HTTP-Method-Override" द्वारे अधिलिखित). विचाराधीन REST-API ऍक्सेस करताना परत आलेल्या डेटामध्ये, एक ऍक्सेस की होती जी तुम्हाला कोणत्याही REST-API हँडलरला विनंत्या पाठवण्याची परवानगी देते.
प्राप्त की वापरून, आक्रमणकर्ता त्याच्या JavaScript कोडची अंमलबजावणी आयोजित करण्यासह, OptinMonster वापरून प्रदर्शित केलेल्या कोणत्याही पॉप-अप ब्लॉक्समध्ये बदल करू शकतो. साइटच्या संदर्भात त्याचा JavaScript कोड कार्यान्वित करण्याची संधी मिळाल्यामुळे, आक्रमणकर्ता वापरकर्त्यांना त्याच्या साइटवर पुनर्निर्देशित करू शकतो किंवा साइट प्रशासकाने बदललेला JavaScript कोड कार्यान्वित केल्यावर वेब इंटरफेसमध्ये विशेषाधिकार प्राप्त खात्याचे प्रतिस्थापन आयोजित करू शकतो. वेब इंटरफेसमध्ये प्रवेश केल्यामुळे, आक्रमणकर्ता त्याच्या PHP कोडची सर्व्हरवर अंमलबजावणी करू शकतो.
स्त्रोत: opennet.ru