CVE-2022-0320

O Essential Addons for Elementor falha em validar e sanitizar certos dados de template antes de utilizá-los em instruções include, permitindo que um atacante não autenticado realize local file inclusion e leia arquivos arbitrários do servidor. A descrição é explícita ao dizer que isso não necessariamente para na leitura de arquivos: o LFI aqui pode escalar para execução remota de código por meio de arquivos enviados por usuários ou das técnicas usuais de LFI para RCE. Assim, o piso é a divulgação arbitrária de arquivos (pense no wp-config.php e suas credenciais de banco de dados) e o teto é a execução de código.

Esta é uma combinação de exposição máxima — um plugin do WordPress imensamente popular, sem autenticação e um caminho que lê arquivos sensíveis ou pior. É precisamente o perfil que os botnets de varredura em massa priorizam, e o tráfego de prova de conceito para falhas não autenticadas de plugins populares normalmente chega em questão de dias, martelando toda instalação alcançável independentemente de quem a execute. Mesmo usado apenas para leitura de arquivos, vazar o wp-config.php entrega o banco de dados e, na prática, o site; encadeado com RCE, é o comprometimento total do servidor. O teto de versão, anterior à 5.0.5, é toda a defesa.

Plugins do WordPress são o software mais difícil de inventariar — instalados por site, frequentemente por donos sem formação técnica, quase nunca rastreados centralmente —, então nosso trabalho não é ler o advisory, é responder quais dos sites que administramos de fato executam o Essential Addons for Elementor, em qual versão, e se o caminho vulnerável é acessível pela internet. Essa interseção reduz uma manchete assustadora a uma lista de patches curta e classificada. Qualquer coisa exposta e abaixo da 5.0.5 tratamos como potencialmente já lida, o que significa rotação de credenciais, e não apenas aplicação de patch.