Sur cette page: [cacher]
À la mi-septembre, chercheurs en sécurité chez Wordfence (De défi) découvert deux vulnérabilités graves dans Post Grid. Post Grid est un plugin WordPress avec plus de 60,000 les installations, développé par PickPlugins.
Pendant l'analyse, l'équipe a découvert des vulnérabilités presque identiques dans Team Showcase, un autre plugin développé par le même auteur. Team Showcase a terminé 6,000 les installations.
La bonne nouvelle est que les développeurs de plugins n'ont publié des correctifs que quelques heures après avoir révélé les failles..
Vulnérabilités du plugin Post Grid et Team Showcase
Le premier plugin permet aux utilisateurs d'afficher leurs publications dans une disposition en grille, alors que Team Showcase affiche les membres de l'équipe d'une organisation. Les deux plugins permettaient l'importation de mises en page personnalisées, avec des fonctionnalités presque identiques. Même si Post Grid n'a pas utilisé la fonction d'importation vulnérable, il contenait toujours le code défectueux, le rendant vulnérable.
Un attaquant connecté pourrait exploiter les deux plugins avec des autorisations minimales dans Stored Cross-Site Scripting (XSS) attaques. L'exploit pourrait être fait en envoyant une requête AJAX spécifique.
Les versions concernées sont Post Grid < 2.0.73 and Team Showcase < 1.22.16.
The other vulnerabilities affecting both plugins could trigger PHP Object injection. The same layout functions posed the risk of PHP Object injection via the same method used in the cross-site scripting attack.
This was possible thanks to the vulnerable functions, which unserialized the payload supplied in the source parameter. This flaw also required an attacker to have minimal privileges, such as a subscriber lever.
“toutefois, les sites utilisant un plugin ou un thème permettant aux visiteurs non authentifiés d'exécuter des codes courts arbitraires seraient vulnérables aux attaquants non authentifiés,"Wordfence dit.
Comment rester protégé?
Si votre site WordPress utilise l'un de ces plugins, vous devez immédiatement mettre à jour les dernières versions. Actuellement, la dernière version de Post Grid est 2.0.73, alors que la dernière version de Team Showcase est 1.22.16.
Si vous avez besoin de plus de détails techniques sur les défauts, vous pouvez vous référer à les découvertes originales.