Les vulnérabilités affectent 100000 sites utilisant le plugin WordPress

Les chercheurs ont découvert des vulnérabilités critiques d’escalade de privilèges dans un plugin WordPress installé sur 100k sites Web.

Les trois failles d’Ultimate Member ont été détectées par l’équipe Threat Intelligence de Wordfence, qui les a décrites comme « critiques et graves » et « faciles à exploiter ».

Les vulnérabilités affectent 100000 sites utilisant le plugin WordPress

En abusant des failles, un attaquant pourrait élever ses privilèges à ceux d’un administrateur et prendre complètement le contrôle d’un site WordPress.

« Une fois qu’un attaquant a un accès administratif à un site WordPress, il a effectivement pris le contrôle de l’ensemble du site et peut effectuer n’importe quelle action, de la mise hors ligne du site à l’infection du site avec des logiciels malveillants », ont noté des chercheurs.

Ultimate Member est un plugin de profil utilisateur gratuit déployé pour créer des communautés en ligne et des sites d’adhésion avec WordPress. Il permet aux propriétaires de sites de créer des rôles personnalisés et de gérer les privilèges des membres du site.

« Nous avons découvert que le formulaire d’inscription des utilisateurs manquait de contrôles sur les données utilisateur soumises », ont écrit les chercheurs.

« Cet oubli a permis à un attaquant de fournir des méta clés utilisateur arbitraires pendant le processus d’enregistrement qui mettraient à jour ces méta clés dans la base de données. »

Les chercheurs ont découvert la première faille le 19 octobre 2020 et ont contacté le développeur du plugin le 23 octobre.

« Après avoir établi un canal de communication approprié, nous avons fourni les détails complets de la divulgation le 26 octobre 2020 », ont déclaré les chercheurs.

Le développeur a agi rapidement, envoyant à Wordfence une copie du premier correctif prévu pour le test le 26 octobre.

« Nous avons confirmé que le correctif corrigeait l’une des vulnérabilités, mais il en restait deux », ont déclaré les chercheurs.

Les défauts restants ont été corrigés avec une copie mise à jour fournie par les développeurs à Wordfence trois jours plus tard. Une version corrigée d’Ultimate Member, 2.1.12, a été publiée le 29 octobre 2020.

« Les vulnérabilités d’escalade de privilèges trouvées dans le plugin WordPress Ultimate Member démontrent les risques continus des plugins pour toute application Web, ce qui en fait une cible régulière pour les attaquants. Un seul plugin tiers compromis peut infecter des dizaines de milliers de sites Web en un seul coup « , a commenté Ameet Naik, évangéliste de la sécurité chez PerimeterX.

« Les entreprises doivent comprendre les risques imposés par les plugins WordPress tiers et doivent sécuriser leurs sites Web à l’aide de pare-feu d’applications Web, ainsi que de solutions de visibilité côté client qui peuvent révéler la présence de code malveillant sur leurs sites. »