Elementor 的基本插件， 一個擁有超過一百萬次活躍安裝的流行插件， 修補了一個關鍵漏洞 這將允許本地文件包含攻擊。
該漏洞由安全研究員 Wai Yan Myo Thet 發現，並於 2022 年 1 月 25 日向 Patchstack 報告。Patchstack 客戶在同一天收到了虛擬補丁。 該插件的開發人員 WPDeveloper 已經知道該問題，他們在最終在 5.0.5 版本中修復之前發布了兩個不足的補丁。
Patchstack 發布了漏洞摘要，並解釋了使用該插件的 WordPress 網站如何受到攻擊：
此漏洞允許任何用戶，無論其身份驗證或授權狀態如何，都可以執行本地文件包含攻擊。 此攻擊可用於在網站的文件系統中包含本地文件，例如 /etc/passwd。 這也可用於通過包含通常無法執行的惡意 PHP 代碼文件來執行 RCE。
請務必注意，該漏洞主要影響使用動態庫和產品庫小部件的用戶。
該插件的變更日誌使更新看起來更像是一種增強而不是嚴重的安全問題，因此用戶可能沒有完全意識到他們需要更新：
5.0.5 – 28/01/2022
改進：增強安全性以防止通過 ajax 請求從遠程伺服器包含不需要的文件
5.0.4 – 27/01/2022
改進：用於安全增強的清理模板文件路徑
新增：支持 WordPress 5.9 的新功能查詢
已修復：未觸發 Elementor 彈出窗口
一些小錯誤修復和改進
低於 5.0.5 的所有版本都被認為是易受攻擊的。 WordPress.org 統計數據不會根據次要版本細分活躍安裝，但大約 54% 的插件用戶運行的版本早於 5.0。
雖然這看起來可能有超過 50 萬用戶仍然容易受到攻擊，但他們還需要使用相關的特定小部件。 如果您不確定是否組合使用這些小部件，最好還是儘快簡單地更新。