Sur cette page: [cacher]
Deux vulnérabilités ont été signalées dans Page Builder par SiteOrigin, qui est un plugin WordPress très populaire installé sur plus de 1 millions de sites Web.
Les failles de sécurité sont décrites comme «Falsification de demande intersite pour un script intersite réfléchi». Ils pourraient permettre à des attaquants de falsifier des demandes au nom de l'administrateur du site pour exécuter du code malveillant dans le navigateur de l'administrateur, disent l'équipe Wordfence Threat Intelligence.
Comment exploiter les vulnérabilités de Page Builder by SiteOrigin?
Afin d'exploiter les deux vulnérabilités, un attaquant devrait tromper l'administrateur du site pour effectuer une action spécifique, comme cliquer sur un lien ou une pièce jointe. La bonne nouvelle est que, après que Wordfence ait contacté le développeur du plugin, un patch a été rapidement sorti.
Toutefois, les vulnérabilités sont considérées à haut risque car elles peuvent conduire à une prise de contrôle complète du site, si resté non corrigé. Afin d'éviter les compromis, les administrateurs du site Web sont invités à patcher le plugin Page Builder à la dernière version, qui est actuellement la version 2.10.16.
En savoir plus sur Page Builder by SiteOrigin
Ceci est un plugin conçu pour simplifier l'édition de pages et de publications dans WordPress. Avec ça, les utilisateurs peuvent créer réactif, contenu basé sur des colonnes, avec l'aide de widgets de WordPress et de widgets du plugin SiteOrigin Widgets Bundle.
en plus, le plugin dispose également d'un éditeur en direct intégré, qui aide les utilisateurs à mettre à jour le contenu et à glisser / déposer des widgets, et observer les changements en temps réel.
En conclusion, deux vulnérabilités de sécurité à haut risque ont été découvertes dans le plugin Page Builder by SiteOrigin qui permettaient aux attaquants de forger des requêtes au nom d'un administrateur de site. Cela pourrait alors conduire à l'exécution de code malveillant dans le navigateur de l'administrateur. Heureusement, les deux défauts ont été corrigés et corrigés dans la version Page Builder 2.10.16. La recommandation générale est que les utilisateurs mettent immédiatement à jour la dernière version du plugin.
La divulgation technique complète des vulnérabilités est disponible.
Lire aussi Un jour zéro critique dans le plugin Elementor Pro met en danger 1M de sites WordPress