WooCommerce Payments WP Plugin Flaw Under Active Attack

Des mois après la publication du correctif, les pirates exploitent toujours la faille de sécurité du plugin WooCommerce Payments WordPress. Les chercheurs ont trouvé la vulnérabilité sous attaque active, exhortant les administrateurs WordPress à mettre à jour leurs sites Web avec la dernière version du plugin immédiatement.

WooCommerce Payments Plugin Flaw Actively Exploited

En mars, la société de sécurité WordPress Wordfence a expliqué une grave faille de sécurité dans le plugin WooCommerce Payments.

La vulnérabilité a d’abord attiré l’attention du chercheur de GoldNetwork, Michael Mazzolini, dont le rapport a incité les développeurs à corriger la faille avec la version 5.6.2 du plugin.

Cependant, il semble que l’ignorance des administrateurs de WordPress vis-à-vis de la mise à jour de leurs sites Web ruine apparemment les efforts des développeurs, car Wordfence signale maintenant la détection d’une exploitation active de la faille.

Comme expliqué, ils ont détecté une exploitation active des vulnérabilités à partir du 14 juillet 2023 pour cibler différents sites Web. Ce qui est particulier dans cette campagne, c’est que les attaquants abusent de cette faille contre un ensemble spécifique de sites Web au lieu de cibler massivement des sites Web aléatoires.

En outre, l’équipe Wordfence a également observé un pic dans les demandes d’énumération de plugins à la recherche d’un readme.txt dossier dans le wp-content/plugins/woocommerce-payments/ répertoire de sites Web. Ils ont expliqué que toutes ces demandes n’étaient pas malveillantes. Pourtant, ce comportement a sonné l’alarme, faisant découvrir à Wordfence les tentatives d’exploitation.

Les chercheurs ont découvert que ces requêtes étaient générées à partir de milliers d’adresses IP, rendant le blocage des adresses IP inadapté aux défenseurs. Cependant, toutes les requêtes malveillantes portaient l’en-tête X-Wcpay-Platform-Checkout-User: 1, qui invite le site à considérer les demandes entrantes comme des demandes d’administration. Les attaquants générant ces requêtes ont ensuite tenté d’installer le plugin WP Console pour réaliser l’exécution de code à distance sur les sites Web cibles.

En plus de Wordfence, RCE Security a partagé un exploit PoC pour cette faille dans un poste séparé.

Comme le montre la page WordPress officielle du plugin, le plugin compte plus de 600 000 installations actives. Parmi ceux-ci, seuls 40,5% des sites Web utilisent les dernières versions de plugins. En comparaison, le journal des modifications répertorie la version 6.2.0 du plug-in comme la dernière version.

Compte tenu de la gravité de la faille et de l’exploitation active, les administrateurs doivent immédiatement mettre à jour leurs sites Web WordPress avec la dernière version du plugin.

Faites-nous part de vos réflexions dans les commentaires.