Une faille de s\u00e9curit\u00e9 de gravit\u00e9 maximale a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e dans le plugin de don et de collecte de fonds WordPress GiveWP, qui expose plus de 100 000 sites Web \u00e0 des attaques d’ex\u00e9cution de code \u00e0 distance.<\/p>\n
La faille, identifi\u00e9e comme CVE-2024-5932 (score CVSS : 10,0), affecte toutes les versions du plugin ant\u00e9rieures \u00e0 la version 3.14.2, sortie le 7 ao\u00fbt 2024. Un chercheur en s\u00e9curit\u00e9, connu sous le pseudonyme en ligne villu164, a \u00e9t\u00e9 cr\u00e9dit\u00e9 de la d\u00e9couverte et du signalement du probl\u00e8me.<\/p>\n
Le plugin est \u00ab vuln\u00e9rable \u00e0 l’injection d’objets PHP dans toutes les versions jusqu’\u00e0, et y compris, 3.14.1 via la d\u00e9s\u00e9rialisation d’entr\u00e9es non fiables du param\u00e8tre ‘give_title’ \u00bb, Wordfence dit<\/a> dans un rapport cette semaine.<\/p>\n \u00ab Cela permet aux attaquants non authentifi\u00e9s d’injecter un objet PHP. La pr\u00e9sence suppl\u00e9mentaire d’une cha\u00eene POP permet aux attaquants d’ex\u00e9cuter du code \u00e0 distance et de supprimer des fichiers arbitraires. \u00bb<\/p>\n La vuln\u00e9rabilit\u00e9 est enracin\u00e9e dans une fonction nomm\u00e9e \u00ab give_process_donation_form() \u00bb, qui est utilis\u00e9e pour valider et nettoyer les donn\u00e9es de formulaire saisies, avant de transmettre les informations de don, y compris les d\u00e9tails de paiement, \u00e0 la passerelle sp\u00e9cifi\u00e9e.<\/p>\n L\u2019exploitation r\u00e9ussie de la faille pourrait permettre \u00e0 un acteur malveillant authentifi\u00e9 d\u2019ex\u00e9cuter du code malveillant sur le serveur, ce qui rend imp\u00e9ratif que les utilisateurs prennent des mesures pour mettre \u00e0 jour leurs instances vers la derni\u00e8re version.<\/p>\n Cette r\u00e9v\u00e9lation intervient quelques jours apr\u00e8s que Wordfence a \u00e9galement d\u00e9taill\u00e9<\/a> une autre faille de s\u00e9curit\u00e9 critique dans les plugins WordPress InPost PL et InPost pour WooCommerce (CVE-2024-6500, score CVSS\u00a0: 10,0) qui permet aux acteurs malveillants non authentifi\u00e9s de lire et de supprimer des fichiers arbitraires, y compris le fichier wp-config.php.<\/p>\n Sur les syst\u00e8mes Linux, seuls les fichiers du r\u00e9pertoire d’installation de WordPress peuvent \u00eatre supprim\u00e9s, mais tous les fichiers peuvent \u00eatre lus. Le probl\u00e8me a \u00e9t\u00e9 corrig\u00e9 dans la version 1.4.5.<\/p>\n Une autre lacune critique dans JS Help Desk, un plugin WordPress avec plus de 5 000 installations actives, a \u00e9galement \u00e9t\u00e9 d\u00e9couvert<\/a> (CVE-2024-7094, score CVSS\u00a0: 9,8) comme permettant l’ex\u00e9cution de code \u00e0 distance en raison d’une faille d’injection de code PHP. Un correctif pour la vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 publi\u00e9 dans la version 2.8.7.<\/p>\n Certaines des autres failles de s\u00e9curit\u00e9 r\u00e9solues dans divers plugins WordPress sont r\u00e9pertori\u00e9es ci-dessous –<\/p>\n La mise en place de correctifs contre ces vuln\u00e9rabilit\u00e9s constitue une ligne de d\u00e9fense essentielle contre les attaques qui les exploitent pour fournir des \u00e9cr\u00e9meurs de cartes de cr\u00e9dit capables de r\u00e9colter les informations financi\u00e8res saisies par les visiteurs du site.<\/p>\n La semaine derni\u00e8re, Sucuri faire la lumi\u00e8re<\/a> sur une campagne d’\u00e9cr\u00e9mage qui injecte des sites de commerce \u00e9lectronique PrestaShop avec du JavaScript malveillant qui exploite un WebSocket<\/a> connexion pour voler les d\u00e9tails de la carte de cr\u00e9dit.<\/p>\n La soci\u00e9t\u00e9 de s\u00e9curit\u00e9 de sites Web appartenant \u00e0 GoDaddy a \u00e9galement mis en garde les propri\u00e9taires de sites WordPress contre l’installation de plugins et de th\u00e8mes annul\u00e9s, affirmant qu’ils pourraient servir de vecteur de logiciels malveillants et d’autres activit\u00e9s n\u00e9fastes.<\/p>\n \u00ab En fin de compte, s’en tenir \u00e0 des plugins et des th\u00e8mes l\u00e9gitimes est un \u00e9l\u00e9ment fondamental de la gestion responsable d’un site Web et la s\u00e9curit\u00e9 ne doit jamais \u00eatre compromise au nom d’un raccourci \u00bb, a d\u00e9clar\u00e9 Sucuri. dit<\/a>.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/La-vulnerabilite-du-plugin-WordPress-GiveWP-met-en-danger-plus.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n\n
\n
\n
\n
<\/a><\/center><\/section>\n