V dodatku OptinMonster za WordPress, ki ima več kot milijon aktivnih namestitev in se uporablja za prikazovanje pojavnih obvestil in ponudb, je bila odkrito ranljivost (CVE-2021-39341), ki omogoča vstavljanje lastne JavaScript kode na spletno mesto, ki uporablja omenjen dodatek. Ranljivost je odpravljena v izdaji 2.6.5. Da bi blokirali dostop s pomočjo zajetih ključev po namestitvi posodobitve, so razvijalci OptinMonster razveljavili vse prej ustvarjene API ključe in uvedli omejitve za uporabo ključev WordPress spletnih mest za spreminjanje kampanj OptinMonster.
Težavo je povzročila prisotnost REST-API /wp-json/omapp/v1/support, do katerega je bilo mogoče dostopati brez overitve — zahteva je bila izvedena brez dodatnih pregledov ob prisotnosti v glavi Referer vrstice "https://wp.app.optinmonster.test" in ob nastavitvi tipa HTTP zahteve na "OPTIONS" (preklicano z HTTP glavo "X-HTTP-Method-Override"). Med podatki, ki so bili vrnjeni ob klicu tega REST-API, se je nahajal ključ dostopa, ki je omogočal pošiljanje zahtevkov katerimkoli obdelovalnikom REST-API.
S pomočjo pridobljenega ključa je mogel napadalec spreminjati katerikoli pojavni blok, ki ga prikazuje OptinMonster, vključno z organizacijo izvajanja svoje JavaScript kode. Ko je napadalec pridobil možnost izvajanja svoje JavaScript kode v kontekstu spletnega mesta, je lahko preusmeril uporabnike na svojo spletno stran ali organiziral nadomestitev privilegiranega računa v spletni vmesnik pri izvajanju vstavljenega JavaScript kode s strani skrbnika spletnega mesta. Z dostopom do spletnega vmesnika je lahko napadalec dosegel izvajanje svoje PHP kode na strežnikom.
Izvor: opennet.ru
