Un populaire plugin WordPress de sauvegarde comptant plus de trois millions d’utilisateurs a récemment corrigé une vulnérabilité qui permettait aux hackers d’accéder à des mots de passe, des informations d’identité et d’autres données sensibles.
Comme le rapportent les analystes de sécurité de WordFence, le chercheur Marc Montpas a découvert une vulnérabilité dans UpdraftPlus, un plugin de sauvegarde, de restauration et de clonage pour WordPress.
UpdraftPlus possède une fonctionnalité qui permet aux utilisateurs d’envoyer un lien de téléchargement de la sauvegarde, par e-mail, à une adresse désignée par le propriétaire du site. Le chercheur a toutefois constaté que cette fonctionnalité a été mal mise en œuvre et qu’elle permet à presque tout le monde, même aux utilisateurs abonnés, de créer un lien valide qui leur permettrait de télécharger les fichiers de sauvegarde.
Pour exploiter la vulnérabilité, l’attaquant devrait toutefois disposer d’un compte actif sur le système cible, expliquent encore les chercheurs, qui concluent qu’une telle attaque devrait être ciblée. Les potentielles conséquences sont décrites comme « graves », c’est pourquoi les chercheurs demandent à tous les utilisateurs de UpdraftPlus de mettre à jour leurs plugins immédiatement.
Les plugins WordPress présentent souvent des failles critiques qui pourraient permettre aux attaquants de prendre le contrôle total d’un site Web. Il y a quelques semaines, un plugin WordPress populaire, utilisé par plus d’un million de sites Web, présentait une faille critique d’exécution de code à distance (RCE).
La version corrigée est la 1.22.3
Une autre vulnérabilité a également été récemment découverte dans le plugin « WordPress Email Template Designer—WP HTML Mail », qui permettait à un hacker non authentifié d’injecter du code JavaScript malveillant qui s’exécuterait chaque fois qu’un administrateur de site accède à l’éditeur de modèles, tandis que fin octobre 2021, les chercheurs ont découvert une faille dans les plugins Hashthemes Demo Importer qui pouvait être exploitée pour effacer et réinitialiser complètement tout site WordPress vulnérable.
WordPress Email Template Designer—WP HTML Mail est utilisé par 20 000 sites Web, tandis que les plugins Hashthemes Demo Importer comptent plus de 8 000 utilisateurs.
