Une faille du plugin Quiz And Master Survey permet de prendre le contrôle d’un site

Des vulnérabilités critiques existaient dans le plugin Quiz and Master Survey qui menaçait des milliers de sites Web. L’exploitation de la faille pourrait permettre à un attaquant de prendre le contrôle du site Web cible.

Vulnérabilités du plugin Quiz et Master Survey

Wordfence a partagé des détails sur les failles de sécurité dans un autre plugin WordPress. Cette fois, ils ont trouvé les vulnérabilités du plugin Quiz et Master Survey. Il s’agit d’un plugin dédié destiné à aider les utilisateurs à créer diverses enquêtes, y compris des quiz d’examen, des enquêtes auprès des employés et d’autres questionnaires.

Comme révélé à travers leur article de blog, ils ont trouvé deux vulnérabilités différentes affectant le plugin.

Le premier d’entre eux est un bogue de gravité critique qui a reçu un score CVSS de 10,0. Le problème a affecté la fonction de téléchargement de fichiers du plugin. Bien que cette fonctionnalité facilite le téléchargement de fichiers en réponse à une enquête, son implémentation non sécurisée pourrait permettre des attaques malveillantes.

C’est parce que la fonctionnalité n’a vérifié que le type de contenu du fichier avant l’importation, que n’importe qui pourrait usurper. Comme expliqué dans le post,

Si un quiz contenait un téléchargement de fichier configuré pour n’accepter que les fichiers .txt, un fichier PHP exécutable pouvait être téléchargé en définissant le champ « Content-Type » sur « text / plain » pour contourner les vérifications faibles du plugin.

Par conséquent, un tel téléchargement de fichiers PHP pourrait permettre à un adversaire de réaliser l’exécution de code à distance en reprenant éventuellement le site.

La deuxième vulnérabilité était également un bogue de gravité critique avec un score CVSS de 9,9. Il s’est réveillé en raison de l’implémentation incorrecte de la fonction de suppression de fichier. Comme Wordfence l’a décrit dans l’article,

Ce qsm_remove_file_fd_question est enregistrée avec une action AJAX régulière et un nopriv Action AJAX. Cela signifiait que la fonction pouvait être déclenchée par des utilisateurs non authentifiés, ce qui était normal car les quiz ne nécessitent pas d’authentification.

Ainsi, l’exploitation de ce bogue pourrait permettre à un adversaire non authentifié de supprimer des fichiers importants.

La vidéo suivante a démontré PoC pour l’exploit.

Correctifs déployés

Après avoir découvert les bogues, les chercheurs ont contacté les fournisseurs pour signaler les failles. Cependant, il leur a fallu un certain temps pour communiquer en douceur. Néanmoins, suite à leurs rapports, les développeurs ont rapidement corrigé les deux bogues.

Par conséquent, les correctifs sont disponibles avec le plugin Quiz And Survey Master version 7.0.1. Les utilisateurs doivent mettre à jour leurs sites avec la dernière version pour rester protégés.

Faites-nous part de vos réflexions dans les commentaires.