CVE-2024-24934

El Website Builder de Elementor puede ser inducido a usar entradas suministradas por el atacante en una llamada al sistema de archivos, permitiendo que una solicitud salga del directorio previsto. Como Elementor es uno de los constructores de WordPress más instalados del planeta, la población bruta de sitios afectados es enorme, y eso es lo que empuja el puntaje hacia lo más alto.

Pero el perfil de explotación es más exigente de lo que sugiere el titular. Esta necesita cierto nivel de acceso autenticado y el ataque está calificado como difícil de lograr, por lo que no es el destrozo indiscriminado de una sola solicitud que sí son los bugs no autenticados en plugins. Esa combinación implica que es más probable que la use un atacante que ya posee una cuenta de bajo privilegio, o como paso dentro de una cadena, que una botnet rociando cada instalación.

A esto lo abordamos como un problema de inventario más contexto. Sí, mapeamos qué sitios llevan Elementor y en qué versión, pero deliberadamente la clasificamos según sus precondiciones y no según su 8.5: los sitios que permiten el registro de usuarios de bajo privilegio y exponen la ruta afectada merecen prioridad, mientras que las instalaciones cerradas de autor único pueden esperar al ciclo normal de actualización. El valor que aportamos está en separar el aterrador número de instalaciones del conjunto mucho más pequeño que realmente es accesible y abusable.