Des spécialistes de la cybersécurité ont aidé à corriger une faille de sécurité dans un plugin Wordpress populaire, qui permettait à un attaquant d'injecter des scripts JavaScript malveillants dans les paramètres du plugin.
Découverte par les spécialistes de la sécurité WP chez Wordfence, la vulnérabilité existe dans le plugin Variation Swatches pour WooCommerce, une extension du plugin WooCommerce populaire qui permet aux sites de commerce en ligne d'afficher et de vendre plusieurs modifications d'un seul produit.
Le plugin a une base d'utilisateurs de quatre-vingts installations qui ont été affectées par la vulnérabilité Stored Cross-Site Scripting (XSS).
"Cette faille permettait à un attaquant disposant d'autorisations de bas niveau, comme un abonné ou un client du service, d'injecter du code JavaScript malveillant qui serait exécuté lorsqu'un administrateur du site accédait à la zone des paramètres du plugin", explique Chloe Chamberland, spécialiste de Wordfence.
Prise de possession du lieu
Chamberland affirme que la vulnérabilité existe en raison du fait que le plugin s'appuie sur plusieurs actions AJAX pour piloter la configuration, qui n'ont pas été incorporées en toute sécurité. Cela permettait même à l'utilisateur le moins authentifié avec des autorisations minimales d'effectuer des actions AJAX associées à des fonctions fragiles.
Comme toujours, des scripts Web malveillants peuvent être conçus pour injecter de nouveaux comptes d'utilisateurs administratifs ou même modifier un plugin ou un fichier de thème pour inclure une porte dérobée qui, à son tour, donnerait à l'attaquant la possibilité de prendre le contrôle total. Surveillez un lieu », a déclaré Chamberland, commentant les implications de la décision.
Les développeurs du plugin ont corrigé la faille et publié une version corrigée du plugin, exhortant leurs utilisateurs à s'assurer que leurs installations sont entièrement à jour.