I WordPress-tillÀgget OptinMonster, som har över en miljon aktiva installationer och anvÀnds för att organisera popup-notiser och erbjudanden, har en sÄrbarhet (CVE-2021-39341) identifierats som tillÄter insÀttning av egen JavaScript-kod pÄ en webbplats som anvÀnder det nÀmnda tillÀgget. SÄrbarheten har ÄtgÀrdats i version 2.6.5. För att blockera Ätkomst via kapade nycklar efter att uppdateringen installerats, har utvecklarna av OptinMonster ogiltigförklarat alla tidigare skapade API-nycklar och lagt till begrÀnsningar för anvÀndning av nycklar pÄ WordPress-webbplatser för att Àndra OptinMonster-kampanjer.
Problemet orsakas av nĂ€rvaron av REST-API /wp-json/omapp/v1/support, dĂ€r Ă„tkomst var möjlig utan autentisering â begĂ€ran utfördes utan ytterligare kontroller nĂ€r den angivna Referer-strĂ€ngen var "https://wp.app.optinmonster.test" och HTTP-begĂ€ran stĂ€lldes in till "OPTIONS" (som kan omdefinieras med HTTP-huvudet "X-HTTP-Method-Override"). Bland de data som returnerades vid anrop av det aktuella REST-API:et fanns en Ă„tkomstnyckel som tillĂ€t att skicka begĂ€rningar till valfria REST-API-handlers.
Med den erhÄllna nyckeln kunde angriparen göra Àndringar i valfria popup-block som visades med hjÀlp av OptinMonster, inklusive att köra sin egen JavaScript-kod. Genom att fÄ möjlighet att köra sin JavaScript-kod i sammanhanget av webbplatsen kunde angriparen omdirigera anvÀndare till sin egen webbplats eller arrangera att en privilegierad anvÀndaridentifiering anvÀnds i webbgrÀnssnittet nÀr den insatta JavaScript-koden kördes av webbplatsens administratör. Genom att ha Ätkomst till webbgrÀnssnittet kunde angriparen fÄ sin PHP-kod att exekveras. servern.
KĂ€lla: opennet.ru
