All-In-One Security (AIOS), un plugin WordPress install\u00e9 sur plus d’un million de sites, a publi\u00e9 une mise \u00e0 jour de s\u00e9curit\u00e9 apr\u00e8s qu’un bogue introduit dans la version 5.1.9 du logiciel a entra\u00een\u00e9 l’ajout des mots de passe des utilisateurs \u00e0 la base de donn\u00e9es au format texte brut.<\/p>\n
“Un administrateur de site malveillant (c’est-\u00e0-dire un utilisateur d\u00e9j\u00e0 connect\u00e9 au site en tant qu’administrateur) pourrait alors les avoir lues”, a d\u00e9clar\u00e9 UpdraftPlus, les mainteneurs d’AIOS, a dit<\/a>.<\/p>\n “Ce serait un probl\u00e8me si ces administrateurs de site essayaient ces mots de passe sur d’autres services o\u00f9 vos utilisateurs auraient pu utiliser le m\u00eame mot de passe. Si les connexions de ces autres services ne sont pas prot\u00e9g\u00e9es par une authentification \u00e0 deux facteurs, cela pourrait constituer un risque pour le site Web concern\u00e9.”<\/p>\n Le probl\u00e8me est apparu il y a pr\u00e8s de trois semaines lorsqu’un utilisateur du plugin signal\u00e9<\/a> le comportement, d\u00e9clarant qu’ils \u00e9taient “absolument choqu\u00e9s qu’un plugin de s\u00e9curit\u00e9 fasse une erreur de s\u00e9curit\u00e9 101 aussi basique”.<\/p>\n AIOS a \u00e9galement not\u00e9 que les mises \u00e0 jour suppriment les donn\u00e9es enregistr\u00e9es existantes de la base de donn\u00e9es, mais a soulign\u00e9 qu’une exploitation r\u00e9ussie n\u00e9cessite qu’un acteur malveillant ait d\u00e9j\u00e0 compromis un site WordPress par d’autres moyens et dispose de privil\u00e8ges administratifs, ou ait obtenu un acc\u00e8s non autoris\u00e9 \u00e0 des sauvegardes de site non crypt\u00e9es.<\/p>\n “En tant que tel, l’opportunit\u00e9 pour quelqu’un d’obtenir des privil\u00e8ges qu’il n’avait pas d\u00e9j\u00e0 est faible”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. “La version corrig\u00e9e arr\u00eate l’enregistrement des mots de passe et efface tous les mots de passe enregistr\u00e9s pr\u00e9c\u00e9demment.”<\/p>\n Par mesure de pr\u00e9caution, il est recommand\u00e9 aux utilisateurs d’activer l’authentification \u00e0 deux facteurs sur WordPress et de modifier les mots de passe, en particulier si les m\u00eames combinaisons d’informations d’identification ont \u00e9t\u00e9 utilis\u00e9es sur d’autres sites.<\/p>\n La divulgation intervient alors que Wordfence a r\u00e9v\u00e9l\u00e9 une faille critique affectant WPeverest Enregistrement de l’utilisateur<\/a> plugin (CVE-2023-3342, score CVSS\u00a0: 9,9) qui compte plus de 60\u00a0000\u00a0installations actives. La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 corrig\u00e9e dans la version 3.0.2.1.<\/p>\n “Cette vuln\u00e9rabilit\u00e9 permet \u00e0 un attaquant authentifi\u00e9 avec des autorisations minimales, comme un abonn\u00e9, de t\u00e9l\u00e9charger des fichiers arbitraires, y compris des fichiers PHP, et d’ex\u00e9cuter du code \u00e0 distance sur le serveur d’un site vuln\u00e9rable”, a d\u00e9clar\u00e9 le chercheur de Wordfence, Istv\u00e1n M\u00e1rton. a dit<\/a>.<\/p>\n <\/p>\n