Le plugin WordPress WP Statistics corrige la vulnérabilité CSRF

La base de données nationale sur les vulnérabilités (NVD) du gouvernement des États-Unis a publié un avis concernant une vulnérabilité découverte dans le plug-in WordPress WP Statistics qui affecte jusqu'à 600 000 installations actives.

La vulnérabilité s'est vu attribuer un support score de niveau de menace de 6,5 sur une échelle de 1 à 10, le niveau 10 représentant le niveau de vulnérabilité le plus grave.

WP Statistics Cross-Site Request Forgery (CSRF)

The WP Le plug-in de statistiques contient une vulnérabilité Cross-Site Request Forgery qui pourrait permettre à un attaquant de compromettre un site Web en activant ou en désactivant des plug-ins.

Une falsification de requête intersite est une attaque qui nécessite qu'un utilisateur de site Web enregistré (tel qu'un administrateur) effectue une action telle qu'un clic sur un lien, ce qui permet ensuite à un attaquant de profiter d'une faille de sécurité .

La faille de sécurité dans cette instance est une "validation nonce manquante ou incorrecte".

Un nonce WordPress est un jeton de sécurité fourni à un utilisateur enregistré qui permet à cet utilisateur de effectuer des actions que seul un utilisateur enregistré peut faire.

Les pages des développeurs WordPress expliquent le nonce avec l'exemple d'un administrateur supprimant un message.

Nonces

Nonces

WordPress pourrait générer Une URL comme celle-ci lorsqu'un utilisateur de niveau administrateur supprime une publication.

Vous trouverez ci-dessous un exemple hypothétique d'URL générée lors de la suppression d'une publication avec un numéro d'identification de 123 :

http://example.com/wp-admin/post.php?post=123&action=trash

Un administrateur de site WordPress enregistré prendrait un nonce et l'URL , dans l'exemple, peut ressembler à ceci :

http ://example.com/wp-admin/post.php?post=123&action=trash&_wpnonce=b192fc4204

Cette dernière partie, &_wpnonce=b192fc4204, est le nonce.

Donc, ce qui se passe, c'est que le nonce est soit manquant ou mal validé dans le plugin WP Statistics et qui crée une faille de sécurité qu'un pirate informatique malveillant peut exploiter.

La base de données nationale sur les vulnérabilités (NVD) l'explique comme ceci :

"Le plugin WP Statistics pour WordPress est vulnérable à Cross-Site Request Forgery dans les versions jusqu'à 13.1.1 incluses. Cela est dû à une validation nonce manquante ou incorrecte sur la fonction view().

Cela permet à des attaquants non authentifiés d'activer et de désactiver des plugins arbitraires, via une requête falsifiée accordée, ils peuvent inciter un administrateur de site à exécuter une action telle que cliquer sur un lien."

"Le plugin WP Statistics pour WordPress est vulnérable à Cross-Site Request Forgery dans les versions jusqu'à 13.1.1 incluses. Cela est dû à une validation nonce manquante ou incorrecte sur la fonction view().

Cela permet à des attaquants non authentifiés d'activer et de désactiver des plugins arbitraires, via une requête falsifiée accordée, ils peuvent inciter un administrateur de site à exécuter une action telle que cliquer sur un lien."

CSRF Correctif de vulnérabilité

La vulnérabilité du plug-in WP Statistics affecte la version jusqu'à 13.1.1. Cependant, de nombreux correctifs de sécurité ont été ajoutés depuis lors, y compris dans la version 13.2.11, ainsi que des correctifs supplémentaires par la suite.

La version actuelle du plug-in est la 14.0.1. À l'heure actuelle, seuls 29,3 % des utilisateurs utilisent la version la plus récente.

Les utilisateurs de la version obsolète du plug-in peuvent envisager de mettre à jour vers la dernière version.

Lire l'avis de sécurité NVD :

Détail CVE-2021-4333

Image sélectionnée par Shutterstock/Asier Romero