Plugin de cache WordPress affecte plus d’un million de sites Web
Le plugin de cache WordPress populaire WP Fastest Cache a été signalé par les chercheurs en sécurité de Jetpack pour avoir plusieurs vulnérabilités qui pourraient permettre à un attaquant d’assumer les privilèges d’administrateur complets. Les vulnérabilités affectent plus d’un million d’installations WordPress.
Description des vulnérabilités du plug-in WP Fastest Cache
WP Fastest Cache est un plugin WordPress utilisé par plus d’un million de sites Web WordPress. Le plugin crée une version HTML statique du site Web.
Plusieurs vulnérabilités ont été découvertes :
- Injection SQL authentifiée
- XSS stocké via une falsification de requête intersites
L’injection SQL authentifiée permet aux utilisateurs connectés d’accéder aux informations de niveau administrateur via la base de données.
Une vulnérabilité d’injection SQL est une attaque dirigée contre la base de données, où sont stockés les éléments du site Web, y compris les mots de passe.
Une attaque réussie par injection SQL pourrait conduire à une prise de contrôle complète du site Web.
Le bulletin de sécurité Jetpack décrit la gravité de la vulnérabilité :
« S’il est exploité, le bogue SQL Injection pourrait permettre aux attaquants d’accéder à des informations privilégiées de la base de données du site concerné (par exemple, les noms d’utilisateur et les mots de passe hachés).
Elle ne peut être exploitée que si le plugin classic-editor est également installé et activé sur le site.
XSS stocké via une falsification de requête intersites
Les vulnérabilités XSS (Cross-site Scripting) sont une vulnérabilité assez courante qui résulte d’une faille dans la façon dont les entrées du site Web sont validées. Partout où un utilisateur peut saisir quelque chose sur un site Web, comme un formulaire de contact, peut être vulnérable à une attaque XSS si la saisie n’est pas filtrée.
Sanitized signifie restreindre ce qui peut être téléchargé à une entrée attendue limitée, comme du texte et non des scripts ou des commandes. Une entrée erronée permet à un attaquant d’injecter des scripts malveillants qui peuvent ensuite être utilisés pour attaquer les utilisateurs qui visitent le site, comme l’administrateur, et faire des choses comme télécharger des fichiers malveillants sur leur navigateur ou intercepter leurs informations d’identification.
Cross Site Request Forgery est lorsqu’un attaquant incite un utilisateur, comme un administrateur connecté, à visiter le site et à exécuter diverses actions.
Ces vulnérabilités dépendent du plugin de l’éditeur classique en cours d’installation et du fait que l’attaquant dispose d’une sorte d’authentification de l’utilisateur, ce qui la rend plus difficile à exploiter.
Mais ces vulnérabilités sont toujours sérieuses et Jetpack recommande aux utilisateurs du populaire plugin de cache WordPress de mettre à niveau leur plugin vers au moins la version 0.95 de WP Fastest Cache.
La version 0.95 de WP Fastest Cache est sortie le 14 octobre 2021.
Selon Jetpack :
S’il est exploité, le bug SQL Injection pourrait permettre aux attaquants d’accéder à des informations privilégiées de la base de données du site concerné (par exemple, les noms d’utilisateur et les mots de passe hachés).
Exploiter avec succès la vulnérabilité CSRF & Stored XSS pourrait permettre à des acteurs malveillants d’effectuer toute action que l’administrateur connecté qu’ils ont ciblé est autorisé à faire sur le site ciblé.
Avertissement de recherche de sécurité Jetpack
Les chercheurs en sécurité de Jetpack recommandent à tous les utilisateurs du plugin de cache WordPress WP Fastest Cache de mettre à jour leur plugin immédiatement.
Les chercheurs en sécurité de Jetpack ont posté :
“Nous vous recommandons de vérifier quelle version du plugin WP Fastest Cache votre site utilise, et si elle est inférieure à 0.9.5, mettez-la à jour dès que possible!”