Des milliers de sites Web WordPress utiliseraient une extension qui présente une vulnérabilité. Elle permet aux pirates de prendre entièrement le contrôle du site.
Les chercheurs ont découvert une faille critique dans YITH WooCommerce Gift Cards Premium, un module complémentaire pour le constructeur de sites web. Il fournit une interface pour créer des cartes cadeaux sur les sites WordPress et serait utilisé par plus de 50 000 sites web.
La faille elle-même est une vulnérabilité de téléversement de fichiers arbitraires non authentifiés, permettant aux escrocs, entre autres, d'installer un shell et ainsi d'obtenir un accès complet au site web cible.
Mise à jour fortement recommandée
La vulnérabilité, répertoriée sous le nom de CVE-2022-45359 et dotée d'un score de gravité de 9,8 - critique, a depuis été corrigée et les utilisateurs sont invités à mettre à jour leur module complémentaire dès que possible, car il existe des preuves que la faille est exploitée.
Elle a été découverte pour la première fois fin novembre 2022, lorsque des chercheurs ont constaté que la faille était présente dans toutes les versions jusqu'à la 3.19.0. Il est donc conseillé aux utilisateurs de porter leur module complémentaire au moins à la version 3.20.0 ou 3.21.0, qui est désormais disponible au téléchargement.
La faille a été découverte par Wordfence, une société de cybersécurité qui analyse l'écosystème Wordpress, et ses chercheurs affirment que des cybercriminels exploitent déjà la faille.
Si la plupart des attaques ont eu lieu en novembre, alors que la faille était encore considérée comme un zero-day, un autre pic d'utilisation a également été observé le 14 décembre 2022.
Deux adresses IP seulement (103.138.108.15 et 188.66.0.135) ont été à l'origine de plus de 20 000 tentatives d'exploitation auprès d'environ 12 000 sites Web.
Bien que WordPress soit relativement stable (environ 0,5 % de toutes les vulnérabilités liées à WordPress concernent la plateforme d'hébergement Web elle-même), son écosystème est vaste et offre donc de nombreuses possibilités d'exploitation. Les modules complémentaires payants, tels que celui-ci, sont généralement fréquemment mis à jour et les développeurs s'efforcent de maintenir un produit sûr, tandis que les modules complémentaires gratuits peuvent souvent rester des mois sans correctifs et se transformer en véritable cauchemar pour les webmasters.
- Les meilleurs plugins WordPress
- Meilleurs logiciels de création de sites web : tous les outils en ligne pour lancer votre site Internet
- Meilleurs hébergeurs web : quels fournisseurs choisir pour propulser votre site Internet ?
Via: BleepingComputer
