Avertissement! La vulnérabilité du plugin WordPress menace des millions de pages
C'est encore cette période du mois, quand une autre vulnérabilité de plugin WordPress apparaît, presque comme sur des roulettes. Cette fois, la vulnérabilité concerne le plugin nommé UpdraftPlus, qui est installé dans environ 3 millions de sites Web exécutant la plateforme de publication.
Accès privilégié aux sauvegardes
Le problème a été découvert par le chercheur en sécurité Marc Montpas et a ensuite été examiné dans un article détaillé par Wordfence - une équipe spécialisée dans la sécurité de WordPress. La faille dans UpdraftPlus a été codifiée sous le pseudonyme CVE 2022-0633 et a reçu un indice de gravité de 8,5 ou élevé.
La vulnérabilité permettait à tout utilisateur actif et connecté avec succès sur n'importe quel site Web WordPress qui exécute UpdraftPlus de télécharger des sauvegardes de site existantes - ce qui ne devrait être possible qu'avec des privilèges élevés, tels que ceux possédés par les administrateurs.
La possibilité de simplement récupérer l'intégralité des données de sauvegarde peut entraîner toutes sortes de problèmes, allant du vol d'informations d'identification à l'accès à des informations sensibles et privilégiées.
Wordfence a expliqué que si un mauvais acteur potentiel envoyait un battement de cœur spécifiquement adapté au site, il aurait alors accès à un "journal de sauvegarde contenant un nonce de sauvegarde et un horodatage". Ces trois éléments peuvent être utilisés ensemble pour télécharger la sauvegarde du site Web en masse.
Les plugins populaires offrent une grande surface d'attaque
La vulnérabilité n'est pas aussi horrible qu'il n'y paraît, car si cette action est effectuée par un mauvais acteur externe, le pirate aurait toujours besoin d'avoir un accès régulier à l'instance de la plateforme WordPress pour le site. Cependant, il suffirait d'avoir un ensemble d'identifiants de connexion compromis pour le faire. Les chercheurs pensent que cela est compensé par le fait qu'UpdraftPlus est très populaire et est installé sur environ 3 millions de sites Web.
Rien qu'en janvier 2022, plusieurs bogues de grande gravité ont été découverts dans les plugins WordPress, dont un avec un indice de gravité de 10. Le problème avec les défauts des plugins est que de nombreux plugins concernés sont très largement adoptés, comme UpdraftPlus, ce qui conduit à un très grande surface d'attaque potentielle accessible aux acteurs potentiels de la menace.