В WordPressOptinMonster 插件拥有超过百万的活跃安装量，用于显示弹出式通知和优惠信息。该插件被发现存在一个漏洞 (CVE-2021-39341)，允许攻击者在使用该插件的网站上嵌入自定义 JavaScript 代码。该漏洞已在 2.6.5 版本中修复。为了防止更新后通过劫持密钥进行访问，OptinMonster 开发人员撤销了所有先前创建的 API 访问密钥，并对密钥的使用进行了限制。 WordPress用于更改 OptinMonster 活动的站点。
该问题是由 REST-API /wp-json/omapp/v1/support 的存在引起的，无需身份验证即可访问该 API - 如果 Referer 标头包含字符串“https://wp”，则无需额外检查即可执行请求.app.optinmonster.test”以及将 HTTP 请求类型设置为“OPTIONS”（由 HTTP 标头“X-HTTP-Method-Override”覆盖）时。 在访问相关 REST-API 时返回的数据中，有一个访问密钥允许您向任何 REST-API 处理程序发送请求。
利用获取的密钥，攻击者可以修改 OptinMonster 显示的任何弹出窗口，包括执行自定义 JavaScript 代码。通过在网站上下文中执行自定义 JavaScript 代码，攻击者可以将用户重定向到自己的网站，或者在网站管理员执行该自定义 JavaScript 代码时，替换 Web 界面中的特权帐户。获得 Web 界面访问权限后，攻击者还可以执行自定义 PHP 代码。 服务器.
来源： opennet.ru
