Популярный плагин WordPress под кибератакой: Выявлена уязвимость, угрожающая миллионам сайтов

В современном мире безопасность веб-сайтов становится все более актуальной проблемой. В частности, была обнаружена уязвимость в широко используемом плагине WordPress, которая может подвергнуть миллионы веб-сайтов кибератакам. Речь идет о плагине Essential Addons for Elementor. Выявленная уязвимость (CVE-2025-24752) позволяет злоумышленникам внедрять вредоносный код на сайт и обманывать пользователей.

Обнаруженная уязвимость возникла из-за недостаточной проверки данных, вводимых пользователем. В файле src/js/view/general.js плагина параметр popup-selector подвергался некорректной обработке (санитизации). Это означало, что злоумышленник мог вставлять вредоносные JavaScript-коды через URL, которые затем передавались пользователям без должной проверки.

Благодаря этой уязвимости злоумышленники могли:

• Перехватывать сессии пользователей (Session Hijacking): Получить контроль над учетными записями пользователей сайта.
• Проводить фишинговые атаки: Перенаправлять пользователей на фальшивые страницы для кражи их конфиденциальных данных.
• Получить административные права: Осуществлять несанкционированный доступ к панели управления WordPress.

Оценка серьезности уязвимости по системе CVSS составила 7.1, что делает ее уязвимостью с высоким уровнем риска. Данная проблема представляет собой серьезную угрозу, поскольку Essential Addons for Elementor активно используется на более чем 2 миллионах веб-сайтов по всему миру.

Исследователь xssium выявил уязвимость через Patchstack Alliance, после чего команда WPDeveloper устранила проблему в версии 6.0.15. Внесенные исправления включают:

• Строгую проверку входных данных (Input Validation): Параметр popup-selector теперь принимает только буквы, цифры и ограниченный набор символов (-, .).
• Корректную фильтрацию данных: Опасные символы, которые могли использовать злоумышленники, полностью удалены.
• Меры защиты как на стороне сервера, так и клиента: Теперь данные проверяются не только в браузере, но и на сервере.

Этот инцидент подчеркивает несколько ключевых принципов кибербезопасности:

1. Строгая проверка входных данных.
   • Все пользовательские вводы должны проходить строгую проверку по принципу «белого списка» (whitelist).
   • Запрещенные символы не просто блокируются, а разрешены только безопасные значения.
2. Необходимость мониторинга безопасности сторонних плагинов.
   • Популярные плагины чаще подвергаются атакам, поэтому регулярное обновление обязательно.
   • Использование плагинов безопасности WordPress поможет минимизировать риски.
3. Многослойная защита.
   • Проверка данных должна выполняться как на стороне сервера, так и в браузере.
   • Использование Web Application Firewall (WAF) рекомендуется для дополнительной защиты.

Если ваш сайт работает с плагином Essential Addons for Elementor, выполните следующие шаги:

✅ Обновите плагин до версии 6.0.15 или более поздней.

✅ Просканируйте сайт на предмет внедрения вредоносных скриптов (XSS).

✅ Используйте Web Application Firewall (WAF) или плагины безопасности для предотвращения атак.

✅ Включите двухфакторную аутентификацию для учетных записей администраторов и других важных аккаунтов.

В условиях растущей киберугроз безопасность веб-сайтов должна быть в приоритете. Выявленная уязвимость в Essential Addons for Elementor в очередной раз доказывает необходимость регулярных обновлений и соблюдения строгих мер безопасности. Администраторы WordPress должны своевременно обновлять свои сайты, применять меры киберзащиты и тщательно проверять надежность используемых плагинов.

Разработчики же должны уделять особое внимание строгой фильтрации пользовательского ввода и обеспечивать безопасную обработку данных. Только так можно минимизировать риски атак и создать надежную цифровую среду.