Elementor, un plugin de construction de sites Web WordPress comptant plus de cinq millions d'installations actives, s'est révélé vulnérable à une faille d'exécution de code à distance authentifiée qui pourrait être utilisée de manière abusive pour prendre le contrôle de sites Web affectés.

Plugin Vulnerabilities, qui a révélé la faille la semaine dernière, a déclaré que le bogue a été introduit dans la version 3.6.0 publiée le 22 mars 2022. Environ 37 % des utilisateurs du plugin utilisent la version 3.6.x.

"Cela signifie que le code malveillant fourni par l'attaquant peut être exécuté par le site Web", ont déclaré les chercheurs. "Dans ce cas, il est possible que la vulnérabilité soit exploitable par une personne non connectée à WordPress, mais elle peut facilement être exploitée par toute personne connectée à WordPress qui a accès au tableau de bord d'administration de WordPress."

En résumé, le problème concerne un cas de téléchargement de fichiers arbitraires sur les sites web affectés, pouvant potentiellement conduire à l'exécution de code.

Le bug a été corrigé dans la dernière version d'Elementor, Patchstack notant que "cette vulnérabilité pourrait permettre à tout utilisateur authentifié, indépendamment de son autorisation, de modifier le titre du site, le logo du site, de changer le thème pour celui d'Elementor, et pire encore, de télécharger des fichiers arbitraires sur le site."

Il est recommandé d’installer les correctifs le plutôt possible.