Sur cette page: [cacher]
Des chercheurs en sécurité ont découvert deux vulnérabilités dans un plugin WordPress, cette fois affectant plus de 200,000 sites Internet. Le plugin PageLayer contient deux XSS reflétés (script intersite) des failles qui pourraient permettre aux auteurs de menaces d'exécuter du code JavaScript malveillant dans le navigateur d'un administrateur. Cette activité malveillante pourrait conduire à la prise de contrôle du site WordPress ciblé. La découverte vient de l'équipe Wordfence.
La bonne nouvelle est que Softaculous, les développeurs du plugin PageLayer, a réagi rapidement après la divulgation. Un patch est maintenant disponible, et les utilisateurs du plugin doivent l'appliquer immédiatement. La version sécurisée du plugin est PageLayer 1.3.5. Si votre site Web exécute un pare-feu spécifique avec protection XSS intégrée, vous ne serez pas affecté par les problèmes.
Détails sur les vulnérabilités du plugin PageLayer
Première, expliquons ce qu'est le XSS ou le script intersite. En termes simples, la définition s'applique à une faille de sécurité qui permet à un attaquant d'injecter des scripts côté client (comme JavaScript) dans une page Web pour accéder directement aux informations cruciales. Aussi, XSS peut être exploité pour usurper l'identité d'un utilisateur ou inciter un utilisateur à révéler des informations que l'attaquant veut posséder. Ces attaques’ les résultats incluent le détournement de sessions utilisateur, déformer les sites Web, ou rediriger les utilisateurs vers des sites Web malveillants.
PageLayer est un constructeur de site Web par glisser-déposer. Les deux défauts XSS résident dans son paramètre de taille de police et ses paramètres de couleur. La première vulnérabilité est notée 6.1 en termes de gravité, ce qui signifie un danger moyen.
Le plugin PageLayer a une page de paramètres, permettre aux concepteurs de site de sélectionner la police et la couleur par défaut utilisées par le générateur de page. Ces options sont acceptées via divers paramètres $ _POST” "Par exemple corps[taille de police] ou h3[taille de police] peut être utilisé pour définir la taille de la police pour les balises body ou h3, et couleur[Contexte] pourrait être utilisé pour définir la couleur d'arrière-plan”,"Wordfence explique.
Une fonction particulière, pagelayer_website_settings, a été utilisé pour modifier ces paramètres. Il contenait un contrôle de capacité et un nonce afin que seules les demandes autorisées puissent appliquer les modifications. toutefois, si une demande a été soumise sans le paramètre submit, la modification ne serait pas enregistrée, et la demande continuerait vers la fonction pagelayer_website_settings_T.
Cette fonction affiche des formulaires sur la page des paramètres” “Malheureusement, cette fonction a également appelé deux autres fonctions qui ont accepté l'entrée de l'utilisateur afin d'afficher les paramètres, et c'est là qu'un attaquant pourrait injecter du JavaScript malveillant qui pourrait conduire à une prise de contrôle d'un site WordPress”,” les chercheurs ont rapporté.
Qu'en est-il de la fonction pagelayer_website_color” “Si un attaquant pouvait amener un administrateur à cliquer sur un lien qui a soumis une requête POST contenant un sous-paramètre de couleur tel que la couleur[Contexte] défini sur un script malveillant, ce script serait exécuté dans le navigateur administrateur”,” Wordfence ajouté.
Plus de détails techniques sont disponibles dans le rapport original.