Bogue critique dans deux plugins WordPress risqués sur 320K sites Web

Une fois de plus, des milliers de sites Web WordPress sont exposés à des menaces de sécurité en raison de plugins vulnérables. Les chercheurs ont trouvé un bogue critique dans deux plugins WordPress qui mettent en danger 320 000 sites Web.

Vulnérabilité dans deux plugins WordPress

Des chercheurs de WebARX Security auraient découvert une grave faille de sécurité dans deux plugins WordPress différents. Compte tenu de la vaste base d’utilisateurs des deux plugins, le bogue a potentiellement rendu des milliers de sites Web vulnérables aux cyberattaques.

Déclarant le bogue dans leur consultatif, les chercheurs ont déclaré avoir trouvé une faille de contournement d’authentification dans deux plugins, le Capsule temporelle WP et Client InfiniteWP. L’exploitation de la faille pourrait permettre à un attaquant de se connecter au compte administrateur sans mot de passe.

Selon les chercheurs, le bogue restait exploitable même avec un pare-feu.

« Dans ce cas, il est difficile de bloquer cette vulnérabilité avec des règles générales de pare-feu car la charge utile est codée et une charge utile malveillante ne serait pas très différente de celle d’une charge utile d’apparence légitime des deux plugins …
En raison de la nature de la vulnérabilité, les pare-feu basés sur le cloud peuvent ne pas être en mesure de faire la différence entre le trafic malveillant ou légitime et peuvent donc ne pas fournir une protection efficace contre cette vulnérabilité.

En bref, les deux plugins présentaient des problèmes logiques qui pourraient permettre à un attaquant de contourner l’authentification utilisateur.

Dans le cas d’InfiniteWP Client, un adversaire pourrait envoyer des requêtes POST malveillantes au site avec une charge utile codée JSON et Base64 pour contourner les exigences de mot de passe. Par conséquent, l’attaquant réussirait à se connecter au compte administrateur uniquement avec le nom d’utilisateur de l’administrateur. Le bogue affectait toutes les versions du plugin jusqu’à 1.9.4.4.

Alors que, pour WP Time Capsule, une requête POST brute avec une certaine chaîne suffirait pour mener l’attaque. Le bogue a potentiellement affecté toutes les versions du plugin jusqu’à la 1.21.15.

Correctifs publiés – Mettez à jour maintenant!

En remarquant la faille, les chercheurs ont informé Revmakx – le développeur des deux plugins. Heureusement, le développeur a travaillé rapidement pour corriger le bogue et publier des correctifs en une journée.

Par conséquent, InfiniteWP Client v.1.9.4.5 et WP Time Capsule v.1.21.16 sont apparus en ligne avec le correctif pour la faille de contournement d’authentification.

Alors que la menace est maintenant apparemment terminée, les utilisateurs des deux plugins doivent s’assurer de mettre à jour leurs sites avec les dernières versions des plugins. Sans oublier que les deux plugins disposent d’un grand nombre d’installations actives; Plus de 300 000 pour InfiniteWP Client et plus de 20 000 pour WP Time Capsule.

Faites-nous part de vos réflexions dans les commentaires.