Des vulnérabilités ont été découvertes dans un plugin WordPress populaire appelé Popup Builder, qui pourrait permettre à des attaquants non authentifiés d'injecter du code JavaScript malveillant dans des fenêtres contextuelles pour voler des informations et même potentiellement prendre le contrôle total des sites ciblés. Le plugin donne aux propriétaires de sites la possibilité de créer, déployer et gérer des popups personnalisables en utilisant une variété de contenus différents, du HTML et JavaScript aux images et vidéos. Le développeur de Popup Builder, Sygnoos, affirme que les entreprises peuvent l'utiliser pour augmenter leurs ventes et leurs revenus grâce à ses popups intelligents qui peuvent être utilisés pour afficher des publicités, des demandes d'abonnement, des remises et davantage de contenu promotionnel.Les failles de sécurité du plugin, qui affectent toutes les versions de Popup Builder jusqu'à la version 3.63, ont été découvertes pour la première fois par Ram Gall, qui travaille comme ingénieur QA chez Defiant. Gall a fourni plus de détails sur la façon dont un attaquant utiliserait les vulnérabilités qu'il a trouvées dans le plugin dans un article de blog, en disant : "En général, les attaquants utilisent une vulnérabilité comme celle-ci pour rediriger les visiteurs du site vers des sites malveillants ou pour voler des informations sensibles de leurs navigateurs, bien qu'il puisse également être utilisé pour prendre le contrôle du site si un administrateur a visité ou prévisualisé une page contenant la fenêtre contextuelle infectée lors de la connexion". L'une des vulnérabilités découvertes par Gall dans le plugin Popup Builder permet à un attaquant non authentifié d'injecter du code JavaScript malveillant dans n'importe quelle fenêtre contextuelle publiée et le code sera exécuté à chaque chargement. L'autre vulnérabilité permet à tout utilisateur connecté (avec des autorisations aussi faibles qu'un abonné) d'accéder à la fonctionnalité du plugin pour exporter les listes d'abonnés et les informations de configuration du système à l'aide d'une simple requête POST à admin-post.php. Sygnoos a corrigé les failles de sécurité, suivies comme CVE-2020-10196 et CVE-2020-10195, avec la sortie de la version 3.65.1 de Popup Builder, après que Gall a divulgué les bogues à l'entreprise. Cependant, seuls 33,000 100,000 utilisateurs sur les plus de 66,000 XNUMX utilisateurs du plugin ont mis à jour la dernière version, ce qui signifie que plus de XNUMX XNUMX sites avec des versions plus anciennes de Popup Builder sont toujours vulnérables et pourraient être attaqués par des pirates. Via BleepingComputer