CVE-2024-24934

O Website Builder do Elementor pode ser induzido a usar entrada fornecida pelo atacante em uma chamada ao sistema de arquivos, permitindo que uma requisição saia do diretório pretendido. Como o Elementor é um dos construtores de WordPress mais instalados do planeta, a população bruta de sites afetados é enorme, e é isso que puxa a nota para o topo.

Mas o perfil de exploração é mais exigente do que a manchete sugere. Este precisa de algum nível de acesso autenticado e o ataque é classificado como difícil de executar, então não é o arrombamento indiscriminado de uma única requisição que os bugs de plugin não autenticados são. Essa combinação significa que é mais provável ser usado por um atacante que já possui uma conta de baixo privilégio, ou como etapa de uma cadeia, do que por uma botnet varrendo cada instalação.

Tratamos isso como um problema de inventário mais contexto. Sim, mapeamos quais sites carregam o Elementor e em qual versão, mas deliberadamente o classificamos conforme suas pré-condições, e não conforme o 8.5: sites que permitem registro de usuários de baixo privilégio e expõem o caminho afetado merecem prioridade, enquanto instalações trancadas de autor único podem esperar o ciclo normal de atualização. O valor que agregamos está em separar a contagem assustadora de instalações do conjunto bem menor que é de fato alcançável e abusável.