Varnostni raziskovalci so odkrili resno ranljivost tipa CSRF (Cross-Site Request Forgery) v priljubljenem WordPress vtičniku Elementor, ki ga po vsem svetu uporablja več milijonov spletnih mest. Ranljivost neavtenticiranim napadalcem omogoča ustvarjanje novih skrbniških računov, kar lahko vodi do popolnega prevzema prizadetega spletnega mesta.
Elementor je eden izmed najbolj razširjenih gradnikov spletnih strani za WordPress platformo, zato obseg potencialne izpostavljenosti ni zanemarljiv. Ranljivost je bila uradno registrirana pod oznako CVE in prizadene določene različice vtičnika, ki ne preverjajo ustrezno izvora zahtev pri določenih administrativnih akcijah.
CSRF napadi delujejo tako, da napadalec žrtev – v tem primeru prijavljenega WordPress skrbnika – zavede, da nevede izvede zlonamerno zahtevo. Ko skrbnik obišče posebej pripravljeno spletno stran ali klikne na skrbno oblikovano povezavo, se v ozadju brez njegove vednosti ustvari nov administratorski račun, ki ga nadzoruje napadalec. Od tega trenutka naprej ima napadalec polni dostop do WordPress nadzorne plošče, vključno z možnostjo namestitve zlonamerne kode, kraje podatkov ali popolnega uničenja spletnega mesta.
Posebej zaskrbljujoče je dejstvo, da napad ne zahteva predhodne avtentikacije – napadalec torej ne potrebuje veljavnih poverilnic za začetek napada. Dovolj je, da skrbnik obišče zlonamerno pripravljeno vsebino, medtem ko je prijavljen v WordPress administracijo.
Prizadete so različice vtičnika Elementor pred zadnjo varnostno posodobitvijo. Razvijalci so ranljivost odpravili v novejši različici, ki jo je potrebno namestiti čim prej. Poleg posodobitve vtičnika varnostni strokovnjaki priporočajo pregled obstoječih skrbniških računov in odstranitev vseh sumljivih ali neznanih uporabnikov z administratorskimi pravicami.
IT ekipam in spletnim skrbnikom svetujemo naslednje ukrepe: nemudoma posodobite vtičnik Elementor na najnovejšo različico, preverite dnevniške datoteke (loge) glede sumljivih aktivnosti, razmislite o uvedbi dodatnih varnostnih slojev, kot sta dvofaktorska avtentikacija in požarni zid za spletne aplikacije (WAF). Prav tako je priporočljivo redno varnostno pregledovati nameščene vtičnike in jih posodabljati, saj so ravno zastareli vtičniki pogosta vstopna točka za napadalce.
Incident znova opozarja na pomen proaktivnega upravljanja vtičnikov v WordPress okoljih, kjer je površina napada pogosto podcenjena.
Vir: https://www.bleepingcomputer.com/news/security/elementor-wordpress-flaw-lets-attackers-create-admin-accounts/
Originalna objava: 2026-09-25
Članek je pripravljen na osnovi tujega vira s pomočjo AI in prilagojen za slovenskega bralca.