No complemento WordPress OptinMonster, que possui mais de um milhão de instalações ativas e é utilizado para exibir notificações e ofertas pop-up, foi identificada uma vulnerabilidade (CVE-2021-39341), que permite a inserção de código JavaScript no site que utiliza o referido complemento. A vulnerabilidade foi corrigida na versão 2.6.5. Para bloquear o acesso por meio de chaves comprometidas após a atualização, os desenvolvedores do OptinMonster invalidaram todas as chaves de API previamente criadas e estabeleceram restrições ao uso de chaves de sites WordPress para modificar campanhas do OptinMonster.
O problema foi causado pela existência do REST-API /wp-json/omapp/v1/support, cujo acesso era possível sem autenticação — a solicitação era realizada sem verificações adicionais na presença do cabeçalho Referer com a string "https://wp.app.optinmonster.test" e ao definir o tipo de solicitação HTTP como "OPTIONS" (sobrescrito por meio do cabeçalho HTTP "X-HTTP-Method-Override"). Entre os dados retornados ao acessar o mencionado REST-API, havia uma chave de acesso que permitia enviar solicitações para quaisquer manipuladores REST-API.
Com a chave obtida, o atacante poderia realizar alterações em quaisquer blocos pop-up exibidos por meio do OptinMonster, inclusive implementar a execução de seu próprio código JavaScript. Ao conseguir executar seu código JavaScript no contexto do site, o atacante poderia redirecionar usuários para seu site ou inserir uma conta privilegiada na interface web durante a execução do código JavaScript injetado pelo administrador do site. Com acesso à interface web, o atacante poderia conseguir a execução de seu código PHP. servidor.
Fonte: opennet.ru
