Le plugin WordPress Quiz and Survey Master contient des failles critiques - FR

Encore un autre plugin vulnérable a été récemment découvert par Wordfence (Défi) équipe. Deux failles de sécurité ont été dévoilées dans Quiz et Survey Master (QSM) Plugin WordPress installé sur plus de 30,000 des sites.

Quiz and Survey Master est un module complémentaire facile à utiliser pour les sites Web. Il permet aux gens de créer divers quiz et enquêtes pour les sites WordPress. Ce widget de site Web convient également à la création d'autres formulaires interactifs tels que des sondages et des questionnaires. L'une des fonctionnalités de cet outil de site Web permet aux propriétaires de sites de mettre en œuvre des téléchargements de fichiers comme type de réponse pour leur quiz ou enquête.. Cette fonctionnalité pourrait être utile dans un certain nombre de scénarios, mais les pirates pourraient également en bénéficier.

Malheureusement, cette fonctionnalité du plugin WordPress Quiz and Survey Master a été identifiée comme contenant deux failles de sécurité. Les défauts, évalué comme hautement critique, pourrait conduire à des attaques d'exécution de code à distance où les attaquants téléchargent des fichiers arbitraires ou suppriment des fichiers du site ciblé, tel que wp-config.php. Ces actions pourraient conduire à mettre hors ligne les sites concernés ou à en prendre le contrôle.

Correction des défauts du plugin Quiz et Survey Master

Heureusement, après la divulgation des vulnérabilités, ils étaient fixés:

Nous avons d'abord contacté l'équipe du plugin en juillet 17, 2020 via leur forum de support et suivi à nouveau en juillet 21, 2020. Après une autre semaine sans réponse, nous avons contacté ExpressTech, la société mère du plugin, en juillet 28, 2020 … Ils ont répondu en août 1, 2020 confirmation de la bonne boîte de réception de divulgation, et nous avons envoyé les détails complets de la divulgation lundi, août 3, 2020. Un patch est sorti quelques jours plus tard en août 5, 2020, le rapport dit.

Les deux vulnérabilités se trouvent dans la fonctionnalité d'un plugin qui permet aux propriétaires de sites de mettre en œuvre des téléchargements de fichiers sous forme de réponse à un quiz ou à une enquête. Disons qu'un site Web a un questionnaire de candidature à un emploi. La fonctionnalité est une solution idéale pour le téléchargement d'un CV PDF ou d'un fichier dans un autre format à la fin du processus.

D'après les chercheurs, cette fonctionnalité n'a pas été mise en œuvre de manière sécurisée, car elle était configurée pour vérifier le type de fichier uniquement en cochant le champ "Content-Type" lors d'un téléversement. Cette vérification est apparue insuffisante pour un moyen sécurisé d'implémenter cette fonctionnalité. Ce qui signifie qu'il pourrait être usurpé facilement. Par exemple, si un quiz avec une étape de téléchargement de fichier est configuré pour accepter uniquement les fichiers .txt, les pirates peuvent télécharger un fichier PHP exécutable sous forme de fichier texte, ce qui leur permettra de contourner les vérifications du plug-in et de transmettre avec succès un code malveillant aux propriétaires de sites Web.

Heureusement, la fonctionnalité doit être activée et configurée pour un quiz afin d'être facilement exploitable. Donc, la plupart des sites qui l'ont installé sur le panneau sont peu susceptibles d'être exploités par cette faille particulière.

La deuxième faille est également signalée comme critique. Cela peut donner aux attaquants la possibilité de supprimer n'importe quel fichier arbitraire du site. Cette vulnérabilité peut être exploitée par des pirates informatiques qui peuvent établir des autorisations d'accès de haut niveau. Ces deux failles peuvent permettre à un attaquant de prendre le contrôle de l'ensemble du site Web et de l'hébergement..

Les failles sont décrites comme un téléchargement de fichier arbitraire. Il n'y a toujours pas de CVE désigné, mais le score CVSS est 10.00, ce qui signifie critique. Donc, les utilisateurs du plugin WordPress Quiz and Survey Master doivent passer à la version 7.0.1 immédiatement pour que leurs sites’ peuvent être protégés contre toute attaque tentant d'exploiter ces failles.

Pour des raisons de sécurité du site Web, il est fortement recommandé aux administrateurs de site WordPress de fournir uniquement aux utilisateurs crédibles des niveaux d'accès supérieurs au niveau de l'abonné. en outre, n'oubliez pas de configurer des mots de passe forts sur ces comptes afin que les attaquants ne puissent pas les utiliser comme moyen d'intrusion.

Plus tôt ce mois-ci, Chercheurs Wordfence découvert plusieurs failles dans le plugin Newsletter pour WordPress. L'une des failles a été récemment corrigée, et les deux autres, qui étaient plus sévères. Ces dernières failles étaient un script intersite reflété (XSS) bug et un problème d'injection d'objets PHP. Heureusement, après avoir contacté les auteurs du plugin, les vulnérabilités ont été rapidement corrigées dans un nouveau communiqué de presse.