WordPress : un célèbre plugin SEO contient deux failles de sécurité !

Le très célèbre plugin "All In One SEO" de WordPress contient deux failles de sécurité critiques, désormais corrigées au sein de la dernière mise à jour de l'extension. Ce plugin est utilisé par des millions de sites Internet.

Lorsque l'on administre un site Internet sous WordPress, on a forcément recours à l'utilisation à une extension pour optimiser son référencement sur les moteurs de recherche (SEO). Pour cela, on a le choix entre deux plugins qui sortent du lot : Yoast SEO et All In One SEO. D'ailleurs, sur la page de l'extension All In One SEO on peut voir qu'il y a plus de 3 millions d'installations actives.

Marc Montpas, un chercheur en sécurité de chez Automattic, a trouvé deux failles de sécurité au sein du plugin All In One SEO. La vulnérabilité "CVE-2021-25036" correspond à une élévation de privilèges (en étant préalablement authentifié) tandis que la vulnérabilité "CVE-2021-25036" est une injection SQL (en étant authentifié également).

Bien qu'il soit nécessaire d'être authentifié pour exploiter les vulnérabilités, cela est particulièrement dangereux et accessible, car de nombreux sites autorisent l'inscription des utilisateurs. Même si le rôle "Abonné" est attribué aux nouveaux inscrits, ce qui correspond au rôle avec le moins de privilèges, c'est suffisant pour qu'un attaquant soit en mesure d'exploiter ces failles de sécurité.

Depuis le 7 décembre 2021, une mise à jour du plugin All In One SEO est disponible afin de corriger ces deux failles de sécurité. La version à installer pour être protégé est All In One SEO 4.1.5.3. Le changelog du plugin précise : "Updated: Security hardening for REST API endpoints". Toutes les versions du plugin entre la 4.0.0 et la 4.1.5.2 sont vulnérables.

Si vous avez un site WordPress et que vous utilisez ce plugin, la mise à jour doit être réalisée sans attendre, mais c'est peut-être déjà fait, dans ce cas c'est tant mieux. Compte tenu du nombre d'installations actives de ce plugin, c'est certain que des milliers de sites sont actuellement vulnérables même si la mise à jour est sortie il y a environ 2 semaines. Cette popularité pourrait intéresser les pirates également.

Source

Partagez cet article Partager sur Twitter Partager sur Facebook Partager sur Linkedin Partager sur Google+ Envoyer par mail

Florian Burnel

Ingénieur système et réseau, cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Je souhaite partager mon expérience et mes découvertes au travers de mes articles. Généraliste avec une attirance particulière pour les solutions Microsoft et le scripting. Bonne lecture.

florian has 3965 posts and counting.See all posts by florian

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée.

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.