Az Elementor bővítményei miatt veszélyben a WordPress-oldalak

Komoly biztonsági rést találtak a King Addons for Elementor nevű WordPress-bővítményben, amely lehetővé teszi, hogy támadók adminisztrátori jogokat szerezzenek a regisztráció során. A hibát (CVE-20258489) október 30-án hozták nyilvánosságra, másnap már ki is használták: eddig több mint 48 400 támadási kísérletet blokkolt a Wordfence, a WordPress biztonsági szolgáltatója. A King Addons egy harmadik féltől származó bővítmény, amely további widgeteket és sablonokat ad az Elementorhoz. Mintegy 10 000 oldalon használják, így komoly célponttá vált a támadók számára. A kritikus hibát Peter Thaleikis kutató fedezte fel: a támadók egy speciálisan összeállított regisztrációs kérelemmel adminisztrátori fiókot hozhatnak létre, mindenféle korlátozás nélkül. A legtöbb támadást két IP-címről indították november 9–10. között, ezek több mint 45 000 próbálkozásért felelősek. A Wordfence részletes IP-listát is közzétett, és javasolja, hogy a weboldal-tulajdonosok ellenőrizzék a naplókat gyanús új adminisztrátorok után kutatva. Aki még nem tette meg, sürgősen frissítsen a King Addons 51.1.35-ös verziójára, amely szeptember 25-én jelent meg, és javítja a hibát. Nem ez az egyetlen veszély: az Advanced Custom Fields: Extended bővítményben egy másik súlyos sebezhetőség (CVE-2025-13486) is van, amely szintén távoli kódfuttatást tesz lehetővé. A bővítményt több mint 100 000 oldalon használják, és a hiba a 0.9.0.5–0.9.1.1 verziókat érinti. Itt a frissítésre szintén mielőbb szükség van – az új verzió (0.9.2) egy nappal a jelentés után már elérhető volt. Az érintett oldalak tulajdonosainak javasolt az azonnali frissítés vagy a bővítmény letiltása.