XCloner Backup and Restore WordPress Plugin contient des failles critiques - FR

XCloner Backup and Restore est un plugin WordPress avec plus de 30,000 les installations. Le plugin est conçu pour fournir aux utilisateurs de WordPress des sauvegardes facilement personnalisables et une fonctionnalité de restauration simple à utiliser.

Malheureusement, Wordfence (De défi) les chercheurs ont récemment découvert plusieurs vulnérabilités dans le plugin, qui pourrait permettre à des attaquants authentifiés avec les capacités d'un abonné ou supérieur de modifier des fichiers arbitraires, y compris les fichiers PHP.

Cela permettrait alors aux attaquants d'exécuter du code à distance sur le serveur d'un site vulnérable. Un autre scénario possible basé sur les vulnérabilités du plugin XCloner Backup and Restore consiste à créer une chaîne d'exploit pour obtenir un vidage de base de données. en plus, le plugin contenait également plusieurs points de terminaison, vulnérable aux attaques CSRF (falsification de demande intersite).

Heureusement, après que les chercheurs aient contacté les développeurs du plugin, un correctif initial a été rapidement publié pour résoudre le problème le plus grave. Un autre a suivi pour résoudre les problèmes restants.

Puisque les problèmes sont considérés comme critiques, ils pourraient conduire à l'exécution de code à distance sur le serveur d'un site vulnérable. Mise à jour vers la version entièrement corrigée, 4.2.153, est fortement recommandé.

Plugin de sauvegarde et de restauration XCloner: Vulnérabilités critiques

La première vulnérabilité est décrite comme «Action AJAX non protégée contre l'écrasement arbitraire des fichiers et la divulgation d'informations sensibles."

La plupart des fonctionnalités du plugin sont basées sur diverses actions AJAX qui ne nécessitent pas l'actualisation de la page à chaque fois. La plus critique de ces fonctions qui aurait pu être exploitée par des attaquants est la write_file_action une, ce qui permettrait aux utilisateurs ayant un niveau d'abonné d'écraser tous les fichiers, comprenant wp-config.php, qui contient les informations d'identification de la base de données WordPress, parmi d'autres données importantes.

L'exploitation de cette vulnérabilité signifie qu'un attaquant pourrait écraser le wp-config.php dans un fichier vide pour que WordPress soit amené à penser qu'il y a une nouvelle installation. Cela permettrait alors à un attaquant de connecter sa propre base de données à un site affecté et de modifier les fichiers une fois qu'il a reconfiguré l'installation de WordPress. Alternativement, un attaquant pourrait écraser tout autre fichier avec une porte dérobée et l'utiliser pour accéder à l'ensemble du système de fichiers du site Web, l'équipe de Wordfence a expliqué dans leur rapport.

L'autre vulnérabilité du plug-in XCloner Backup and Restore est décrite comme une falsification de requêtes intersites. Outre le point de terminaison AJAX presque entièrement exposé, presque tous les points de terminaison du plugin étaient vulnérables à la falsification de requêtes intersites. Cette vulnérabilité provient d'un échec de mise en œuvre des nonces et des vérifications correspondantes. Une attaque CSRF pourrait déclencher les options de sauvegarde ou de mise à jour dans le plugin, ainsi que toutes les autres activités malveillantes causées par les vulnérabilités.


La sécurité de votre site WordPress devrait être une préoccupation majeure. Parce que nous savons à quel point la sécurité Web est importante, nous avons préparé des articles utiles pour vous fournir des informations précieuses:

Qu'est-ce que la sécurité Web?
Sécurité Web: 3 Idées fausses courantes qui mettent votre site Web en danger

Recherché et créé par:
Kroum Popov
Entrepreneur passionné du Web, crée des projets Web depuis 2007. Dans 2020, il a fondé HTH.Guide — une plateforme visionnaire dédiée à rationaliser la recherche de la solution d'hébergement Web parfaite. En savoir plus...
Techniquement révisé par:
Métodi Ivanov
Expert chevronné en développement Web avec 8+ des années d'expérience, y compris des connaissances spécialisées dans les environnements d'hébergement. Son expertise garantit que le contenu répond aux normes d'exactitude les plus élevées et s'aligne parfaitement avec les technologies d'hébergement.. En savoir plus...

Laisser un commentaire

Votre adresse email ne sera pas publiée. les champs requis sont indiqués *

Ce site est protégé par reCAPTCHA et Google Politique de confidentialité et Conditions d'utilisation appliquer.

Ce site utilise des cookies pour améliorer l'expérience utilisateur. En utilisant notre site Web, vous consentez à tous les cookies conformément à notre Politique de confidentialité.
Je suis d'accord
Chez HTH.Guide, nous proposons des avis transparents sur l'hébergement Web, garantir l’indépendance vis-à-vis des influences extérieures. Nos évaluations sont impartiales car nous appliquons des normes strictes et cohérentes à tous les avis..
Bien que nous puissions gagner des commissions d'affiliation de certaines des sociétés présentées, ces commissions ne compromettent pas l'intégrité de nos avis et n'influencent pas notre classement.
Les revenus de l'affilié contribuent à couvrir l'acquisition du compte, frais de tests, entretien, et développement de notre site Web et de nos systèmes internes.
Faites confiance à HTH.Guide pour des informations fiables et de la sincérité en matière d'hébergement.