08 mars 2023
La base de données nationale sur les vulnérabilités (NVD) du gouvernement des États-Unis a publié un avis concernant une vulnérabilité découverte dans le plug-in WordPress WP Statistics qui affecte jusqu'à 600 000 installations actives.
La vulnérabilité s'est vu attribuer un support score de niveau de menace de 6,5 sur une échelle de 1 à 10, le niveau 10 représentant le niveau de vulnérabilité le plus grave.
The WP Le plug-in de statistiques contient une vulnérabilité Cross-Site Request Forgery qui pourrait permettre à un attaquant de compromettre un site Web en activant ou en désactivant des plug-ins.
Une falsification de requête intersite est une attaque qui nécessite qu'un utilisateur de site Web enregistré (tel qu'un administrateur) effectue une action telle qu'un clic sur un lien, ce qui permet ensuite à un attaquant de profiter d'une faille de sécurité .
La faille de sécurité dans cette instance est une "validation nonce manquante ou incorrecte".
Un nonce WordPress est un jeton de sécurité fourni à un utilisateur enregistré qui permet à cet utilisateur de effectuer des actions que seul un utilisateur enregistré peut faire.
Les pages des développeurs WordPress expliquent le nonce avec l'exemple d'un administrateur supprimant un message.
Nonces
WordPress pourrait générer Une URL comme celle-ci lorsqu'un utilisateur de niveau administrateur supprime une publication.
Vous trouverez ci-dessous un exemple hypothétique d'URL générée lors de la suppression d'une publication avec un numéro d'identification de 123 :
Vous trouverez ci-dessous un exemple hypothétique d'URL générée lors de la suppression d'une publication avec un numéro d'identification de 123 :http://example.com/wp-admin/post.php?post=123&action=trash
Un administrateur de site WordPress enregistré prendrait un nonce et l'URL , dans l'exemple, peut ressembler à ceci :
Un administrateur de site WordPress enregistré prendrait un nonce et l'URL , dans l'exemple, peut ressembler à ceci :http ://example.com/wp-admin/post.php?post=123&action=trash&_wpnonce=b192fc4204
Cette dernière partie, &_wpnonce=b192fc4204, est le nonce.
&_wpnonce=b192fc4204Donc, ce qui se passe, c'est que le nonce est soit manquant ou mal validé dans le plugin WP Statistics et qui crée une faille de sécurité qu'un pirate informatique malveillant peut exploiter.
La base de données nationale sur les vulnérabilités (NVD) l'explique comme ceci :
La base de données nationale sur les vulnérabilités (NVD) l'explique comme ceci :l'explique"Le plugin WP Statistics pour WordPress est vulnérable à Cross-Site Request Forgery dans les versions jusqu'à 13.1.1 incluses. Cela est dû à une validation nonce manquante ou incorrecte sur la fonction view().
Cela permet à des attaquants non authentifiés d'activer et de désactiver des plugins arbitraires, via une requête falsifiée accordée, ils peuvent inciter un administrateur de site à exécuter une action telle que cliquer sur un lien."
"Le plugin WP Statistics pour WordPress est vulnérable à Cross-Site Request Forgery dans les versions jusqu'à 13.1.1 incluses. Cela est dû à une validation nonce manquante ou incorrecte sur la fonction view().
Cela permet à des attaquants non authentifiés d'activer et de désactiver des plugins arbitraires, via une requête falsifiée accordée, ils peuvent inciter un administrateur de site à exécuter une action telle que cliquer sur un lien."
La vulnérabilité du plug-in WP Statistics affecte la version jusqu'à 13.1.1. Cependant, de nombreux correctifs de sécurité ont été ajoutés depuis lors, y compris dans la version 13.2.11, ainsi que des correctifs supplémentaires par la suite.
La version actuelle du plug-in est la 14.0.1. À l'heure actuelle, seuls 29,3 % des utilisateurs utilisent la version la plus récente.
Les utilisateurs de la version obsolète du plug-in peuvent envisager de mettre à jour vers la dernière version.
Lire l'avis de sécurité NVD :
Lire l'avis de sécurité NVD :Détail CVE-2021-4333Image sélectionnée par Shutterstock/Asier Romero
Image sélectionnée par Shutterstock/Asier Romero
Découvrez les secrets de la gestion d'un programme d'affiliation réussi. De l'intégration des affiliés à la création d'une stratégie de communication, la deuxième partie de cette série vous couvre.
Boostez la gestion globale de votre site Web avec des outils d'IA. Découvrez les avantages de l’exploitation de la technologie IA pour le contenu, le référencement, la recherche et bien plus encore.
Regardez ce webinaire à la demande et voyez iQuanti partager des informations exploitables pour mesurer le succès au sein des canaux croisés de la recherche organique et payante.