背景
WordPress 網站建置外掛 Elementor Website Builder 近期被揭露一項高嚴重性跨站請求偽造漏洞。根據 The Hacker News 引用 WordPress 安全公司 Patchstack 的說明，攻擊者本身不需要擁有目標網站帳號，只要誘使已登入的管理員點開特製連結，就可能藉由受害者的登入狀態建立另一個管理員帳號，進而接管網站。該漏洞尚未取得 CVE 編號，CVSS 風險評分為 8.8 分，滿分為 10 分。
Elementor 是部署規模極大的 WordPress 頁面建置工具，官方統計顯示其活躍安裝量超過 1,000 萬個網站。此次問題只影響 4.3.0 與 4.3.1 兩個版本，但 WordPress.org 資料顯示，僅這兩個受影響版本就安裝在超過 200 萬個網站上。因此，雖然受影響版本範圍有限，潛在暴露面仍相當可觀。漏洞由使用「Saggre」名義的安全研究人員發現並回報，Elementor 已在負責任揭露後釋出 4.3.2 版本修補。
漏洞成因
這項問題屬於 CSRF，也就是跨站請求偽造。此類攻擊的核心不是竊取密碼，而是利用瀏覽器在造訪網站時自動攜帶登入 Cookie 的特性，使網站把攻擊者安排的請求誤認為是已登入使用者自願發出的操作。若缺少有效的 CSRF 防護，受害者只是開啟連結，瀏覽器就可能代表其帳號送出具有實際效果的請求。
Patchstack 指出，問題來自 Elementor 的 Editor Events 模組在處理以 Cookie 驗證的 REST API 請求時，採用了過於寬鬆的豁免條件。只要請求 URI 中的任何位置出現固定字串「elementor/v1/events/」，相關 CSRF 保護就會被略過。由於 URI 也包含查詢字串，而查詢字串正是建立連結的人可以控制的內容，攻擊者只要在任意 REST API 網址後方附加看似無害的參數，就能讓該請求繞過原本應執行的檢查。
更关键的是，這個豁免並非只影響 Elementor 自己的事件端點。只要 URI 中出現指定字串，整個網站的 REST API 範圍都可能受影響，包括 WordPress 核心路由，以及網站安裝的其他外掛所提供的 API 路由。換言之，一個原本只屬於特定功能的保護例外，因判斷方式過於粗略，變成可用來影響全站 API 的安全缺口。
攻擊方式與實際效果
Patchstack 表示，攻擊不需要受害者執行 JavaScript、提交表單，也不需要先造訪由攻擊者控制的頁面。惡意連結可以是電子郵件、聊天訊息或留言中的普通超連結。只要已登入 WordPress 的使用者開啟連結，該使用者帳號就可能被迫執行其權限允許的任何 REST API 操作。
在標準 WordPress 安裝環境中，最嚴重的情況是管理員點擊連結。攻擊者可將請求指向 WordPress 的使用者管理 API，例如 /wp/v2/users，並透過查詢參數指定以 POST 方式處理，同時帶入新帳號的使用者名稱、電子郵件、密碼與 administrator 角色。接著再附加包含 elementor/v1/events/ 字串的參數，使請求避開 CSRF 檢查。若請求成功，網站會新增一個由攻擊者掌控的管理員帳號。
這代表攻擊者不需要知道管理員密碼，也不需要直接取得登入工作階段。真正被利用的是瀏覽器自動送出 Cookie 的行為，以及外掛錯誤地把可控的 URI 字串視為安全豁免依據。取得管理員帳號後，攻擊者可能進一步修改內容、安裝外掛、變更設定或建立持久控制管道；實際能造成的破壞，仍取決於網站設定、既有安全控制與管理員權限範圍。
影響與限制
此次漏洞最值得注意的地方，是低互動門檻與高影響範圍同時存在。攻擊者不需先入侵網站，只要讓具有足夠權限的登入使用者點開連結即可。不過，攻擊並非完全不需要條件：受害者必須處於已登入狀態，且其帳號必須具備執行目標 REST API 動作的權限。若點擊者只是低權限使用者，能執行的操作會受限；但若點擊者是管理員，後果就可能直接升級為整站接管。
4.3.0 以前的 Elementor 版本未內建造成問題的 Editor Events proxy，因此不受此漏洞影響。目前明確受影響的是 4.3.0 與 4.3.1，而 4.3.2 已修正相關問題。使用 Elementor 的網站應立即確認版本並更新；更新後也應檢查是否存在陌生管理員帳號、異常 API 活動、未授權外掛或設定變更。僅修補程式並不能自動移除已建立的惡意帳號，若網站在更新前曾暴露於受影響版本，仍需要進行事件檢查。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。