IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Des chercheurs découvrent des failles critiques dans trois plugins WordPress utilisés sur plus de 400 000 sites Web
Permettant d'accéder à un compte administrateur, des correctifs sont disponibles

Le , par Axel Lecomte

358PARTAGES

13  0 
De graves vulnérabilités ont été découvertes par des chercheurs dans trois plugins WordPress à savoir InfiniteWP Client, WP Time Capsule et WP Database Reset. Pour les deux premiers, il s'agit d'un bogue permettant facilement à n'importe quel utilisateur d'accéder à un compte administrateur. Pour WP Database Reset, la faille autorise à tous les utilisateurs authentifier de réinitialiser toutes les tables de la base de données ou de bénéficier des privilèges administratifs.

Marc-Alexandre Montpas, chercheur chez Web Sucuri, explique dans un article que « des vulnérabilités logiques comme celles observées dans cette récente divulgation peuvent entraîner de graves problèmes pour les applications et composants Web. Ces failles peuvent être exploitées pour contourner les contrôles d'authentification - et dans ce cas, se connecter à un compte administrateur sans mot de passe ».

Le 7 janvier, l'entreprise WebARX, spécialisée en cybersécurité a alerté Revmakx, le développeur de InfiniteWP Client et WP Time Capsule, sur la présence de failles critiques permettant à n'importe qui d'accéder à un compte administrateur sans aucune information d'identification. Ainsi, des malfaiteurs auraient pu supprimer du contenu, ajouter de nouveaux comptes et exécuter d'autres tâches malveillantes. D'ailleurs, le problème est très important au vu du nombre de sites utilisant les deux plugins : 300 000 pour InfiniteWP Client et 30 000 pour WP Time Capsule.

« Du fait de la nature de la vulnérabilité, le contournement de l'authentification est rendu possible grâce à une erreur logique dans le code [de WP Database Reset], qui ne produit pas de réaction suspecte des pare-feux. Il peut donc être difficile de trouver et de déterminer d'où viennent ces problèmes », reconnaît Revmakx.


Le développeur a ainsi réagi rapidement et a proposé les versions 1.9.4.5 de InfiniteWP Client et 1.21.16 de WP Time Capsule, qui corrigent les failles.

Dans la nouvelle version, le code qui corrige la faille se présente comme suit :


Comme indiqué sur l'image, les développeurs n'ont modifié que les actions add_site et readd_site qui ne rempliront plus la variable request_params mais reviendront au début de la fonction.

Un jour après la découverte de WebARX, le fournisseur de pare-feu d'applications Web Wordfence a informé le développeur de WP Database Reset qu'elle a identifié deux failles de sécurité critiques : CVE-2020-7048 et CVE-2020-7047. La première permet à toute personne non authentifiée de réinitialiser toutes les tables de la base de données. La seconde, quant à elle, donne la possibilité aux utilisateurs authentifiés de bénéficier de privilèges administratifs et de pouvoir « supprimer tous les autres utilisateurs de la table avec une simple requête ».

Le 13 janvier, le développeur du plugin installé sur environ 80 000 sites a répondu à la signalisation et le lendemain, la version 3.15, corrigeant les deux failles, a été rendue disponible.

Si à ce jour, aucun site ne semble être affecté à cause de ces failles, les développeurs de ces plugins ont rapidement réagi et ont proposé des mises à jour corrigeant les bogues. Les utilisateurs de ces trois plugins devraient donc les mettre à jour immédiatement pour éviter des attaques.

Sources : WebARX, Wordfence

Et Vous ?

Qu'en pensez-vous ?
Utilisez-vous l'un de ces plugins sur votre site ? Les avez-vous déjà mis à jour ?
Avez-vous remarqué d'autres vulnérabilités liées à ces plugins ?

Voir aussi :

Parmi les sites CMS piratés en 2018, 90 % sont des sites WordPress, et 97 % des sites PrestaShop piratés sont obsolètes, selon un rapport
WordPress : le nombre de vulnérabilités a triplé en 2018. Une étude pointe du doigt les plugins comme la principale source des failles du CMS
Des milliers de sites WordPress infectés redirigent les visiteurs vers des pages d'escroquerie au faux support technique

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de Steinvikel
Membre expert https://www.developpez.com
Le 25/01/2020 à 15:47
...une réactivité qui fait plaisir à voir, et de la part de plusieurs acteurs qui plus est.
Comme quoi, tout n'est pas négatif en ce qui concerne l'actualité sécurité en info'. =)
1  0 
Avatar de
https://www.developpez.com
Le 01/02/2020 à 17:13
Et combien de sites sont à jour maintenant ???
1  0 
Avatar de ManPaq
Membre averti https://www.developpez.com
Le 08/02/2020 à 7:17
WP gère le contenu sur la base des patterns, ce qui met à la portée de chacun un modèle approuvé par la communauté. Ce qui m'inquiète c'est l'utilisation des plugins qui dérogent à l'existence de ces règles et rendent le système instable: ils ne sont pas évalués par le système et l'encapsulation des extensions ne semble pas exister (une greffe plutôt qu'une fonctionnalité)?

Au jeu d'échecs, le pat est une position dans laquelle le camp ayant le trait et n'étant pas sous le coup d'un échec, ne peut plus jouer de coup légal sans mettre son propre roi en échec. La partie est alors déclarée nulle quel que soit le matériel restant sur l'échiquier. Le pat met immédiatement fin à la partie. https://fr.wikipedia.org/wiki/Pat_(%C3%A9checs)

Où comment se sortir d'une situation embarrassante...
0  0 
Avatar de Steinvikel
Membre expert https://www.developpez.com
Le 12/02/2020 à 16:02
Il me semble que "pat" c'est aussi quand tu fais 3 aller-retours consécutif (volontairement ou par contrainte).
exemple :
- je bouge la tour de la case X à la case Y
- mon adversaire joue
- je bouge de Y pour retourner à X
- l'adversaire joue
- moi : X -> Y
etc.
0  0 
Avatar de ManPaq
Membre averti https://www.developpez.com
Le 13/02/2020 à 6:05
une maj s'impose... "On appelle aussi parfois la pièce qui s'offre ainsi de manière continuelle à la capture un desperado ou pièce enragée." wikipedia: sacrifice(échecs), la correction apportée pour résoudre la faille semble précaire et propre à attirer l'attention, mais n'est ce pas l'attitude du bouclier et de l'épée ?
0  0