Pas moins de 200 000 sites Web WordPress sont expos\u00e9s au risque d’attaques en cours exploitant une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 critique non corrig\u00e9e dans le plug-in Ultimate Member.<\/p>\n
La faille, identifi\u00e9e comme CVE-2023-3460 (score CVSS : 9,8), affecte toutes les versions du plugin Ultimate Member, y compris la derni\u00e8re version (2.6.6) qui a \u00e9t\u00e9 publi\u00e9e le 29 juin 2023.<\/p>\n
Le membre ultime est un plugin populaire<\/a> qui facilite la cr\u00e9ation de profils d’utilisateurs et de communaut\u00e9s sur les sites WordPress. Il fournit \u00e9galement des fonctionnalit\u00e9s de gestion de compte.<\/p>\n “Il s’agit d’un probl\u00e8me tr\u00e8s grave\u00a0: des attaquants non authentifi\u00e9s peuvent exploiter cette vuln\u00e9rabilit\u00e9 pour cr\u00e9er de nouveaux comptes d’utilisateurs avec des privil\u00e8ges d’administration, leur donnant le pouvoir de prendre le contr\u00f4le total des sites concern\u00e9s”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 WordPress WPScan. a dit<\/a> dans une alerte.<\/p>\n Bien que les d\u00e9tails sur la faille aient \u00e9t\u00e9 retenus en raison d’abus actifs, cela d\u00e9coule d’une logique de liste de blocage inad\u00e9quate mise en place pour modifier la m\u00e9ta-valeur utilisateur wp_capabilities d’un nouvel utilisateur en celle d’un administrateur et obtenir un acc\u00e8s complet au site.<\/p>\n “Bien que le plug-in ait une liste pr\u00e9d\u00e9finie de cl\u00e9s interdites, qu’un utilisateur ne devrait pas pouvoir mettre \u00e0 jour, il existe des moyens triviaux de contourner les filtres mis en place, tels que l’utilisation de divers cas, barres obliques et codage de caract\u00e8res dans une valeur de m\u00e9ta-cl\u00e9 fournie. dans les versions vuln\u00e9rables du plugin \u00bb, Chloe Chamberland, chercheuse de Wordfence a dit<\/a>.<\/p>\n Le probl\u00e8me est apparu apr\u00e8s rapports<\/a> a \u00e9merg\u00e9<\/a> de comptes d’administrateurs malveillants ajout\u00e9s aux sites concern\u00e9s, incitant les responsables du plugin \u00e0 publier des correctifs partiels dans les versions 2.6.4, 2.6.5 et 2.6.6. Une nouvelle mise \u00e0 jour est attendu<\/a> \u00e0 para\u00eetre dans les prochains jours.<\/p>\n “Une vuln\u00e9rabilit\u00e9 d’escalade de privil\u00e8ges utilis\u00e9e via les formulaires UM”, a d\u00e9clar\u00e9 Ultimate Member dans ses notes de publication. “Connue dans la nature, cette vuln\u00e9rabilit\u00e9 a permis \u00e0 des \u00e9trangers de cr\u00e9er des utilisateurs WordPress de niveau administrateur.”<\/p>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/Des-hackers-chinois-utilisent-des-tactiques-inedites-pour-attaquer-des.png\")
<\/a><\/center><\/div>\n