WordFence сообщает, что Elementor Pro имеет уязвимость с нулевым критическим днем. Эта уязвимость не была исправлена и активно используется.
Два плагина Elementor уязвимы
Согласно WordFence, есть два подключаемых модуля с уязвимостью.
Elementor Pro – уязвимый плагин
Elementor Pro – это платная версия плагина для конструктора страниц WordPress от Elementor. Эта уязвимость не влияет на бесплатную версию плагина Elementor.
Уязвимость оценивается как «критическая» согласно WordFence.
Хакер должен быть зарегистрирован на сайте, чтобы использовать уязвимость.
Если вы работаете на веб-сайте WordPress с Elementor Pro и позволяете посетителям сайта зарегистрироваться, чтобы оставлять комментарии или вносить свой вклад в сайт, вы можете быть уязвимы.
Однако, если на вашем сайте Elementor Pro WordPress нет зарегистрированных пользователей, вы все равно рискуете.
Причина, по которой вы все еще подвержены риску, заключается в том, что другой плагин Ultimate Addons для Elementor позволяет хакеру зарегистрироваться в качестве подписчика, даже если регистрация запрещена.
Это означает, что плагин Ultimate Addons for Elementor позволяет хакеру взломать Elementor Pro.
По словам WordFence:
«Поскольку в настоящее время уязвимость не была исправлена, мы исключаем любую дополнительную информацию.
У нас есть данные от другого поставщика, указывающие, что команда Elementor работает над патчем. Мы связались с Elementor и не получили немедленного подтверждения этого до публикации. "
Ультимативные плагины для уязвимости Elementor
Второй уязвимый плагин – плагин Ultimate Addons для Elementor. Уязвимость позволяет хакеру использовать уязвимость Elementor Pro, если регистрация пользователя отключена.
В настоящее время нет доступных исправлений для исправления уязвимости Elementor Pro.
Но есть патч для исправления определенных плагинов для плагина Elementor (инструкции здесь).
Обновив плагин Ultimate Addons (если он у вас установлен), теоретически вы можете запретить хакеру использовать сайт Elementor Pro, если регистрация пользователя запрещена.
Как защитить свой сайт Elementor Pro
WordFence рекомендует перейти на бесплатную версию Elementor (доступна здесь). Эта версия Elementor Page Builder не уязвима.
После того, как Elementor Pro будет исправлен, вы можете перейти на исправленную версию pro плагина и защититься от взлома.
Прочитайте объявление WordFence:
Комбинированная атака Elementor Pro и Ultimate Addons для Elementor подвергает риску 1 миллион сайтов
