Automattic, éditeurs du WooCommerce plugin, a annoncé la découverte et le correctif d’une vulnérabilité critique dans le plugin WooCommerce Payments.
La vulnérabilité permet à un attaquant d’obtenir des informations d’identification de niveau administrateur et d’effectuer une prise de contrôle complète du site.
L’administrateur est le rôle d’utilisateur le plus autorisé dans WordPress, accordant un accès complet à un site WordPress avec la possibilité de créer davantage de comptes de niveau administrateur ainsi que la possibilité de supprimer l’intégralité du site Web.
Ce qui rend cette vulnérabilité particulière très préoccupante, c’est qu’elle est accessible aux attaquants non authentifiés, ce qui signifie qu’ils n’ont pas besoin d’acquérir au préalable une autre autorisation pour manipuler le site et obtenir le rôle d’utilisateur de niveau administrateur.
Créateur de plugins de sécurité WordPress Wordfence a décrit cette vulnérabilité:
“Après avoir examiné la mise à jour, nous avons déterminé qu’elle supprimait le code vulnérable qui pourrait permettre à un attaquant non authentifié de se faire passer pour un administrateur et de prendre complètement le contrôle d’un site Web sans aucune interaction de l’utilisateur ni ingénierie sociale requise.”
La plateforme de sécurité du site Sucuri a publié un avertissement sur la vulnérabilité qui entre plus en détail.
Sucuri explique que la vulnérabilité semble se trouver dans le fichier suivant :
/wp-content/plugins/woocommerce-payments/includes/platform-checkout/class-platform-checkout-session.php
Ils ont également expliqué que le « correctif » mis en œuvre par Automattic consiste à supprimer le fichier.
Sucuri observe :
“D’après l’historique des modifications du plugin, il semble que le fichier et ses fonctionnalités ont simplement été complètement supprimés…”
Le site Web WooCommerce a publié un avis expliquant pourquoi ils a choisi de supprimer complètement le fichier concerné:
“Étant donné que cette vulnérabilité pouvait également avoir un impact sur WooPay, un nouveau service de paiement en phase de test bêta, nous avons temporairement désactivé le programme bêta.”
La vulnérabilité du plugin de paiement WooCommerce a été découverte le 22 mars 2023 par un chercheur en sécurité tiers qui en a informé Automattic.
Automattic a rapidement publié un correctif.
Les détails de la vulnérabilité seront publiés le 6 avril 2023.
Cela signifie que tout site qui n’a pas mis à jour ce plugin deviendra vulnérable.
Quelle version du plugin de paiement WooCommerce est vulnérable
WooCommerce a mis à jour le plugin vers la version 5.6.2. Ceci est considéré comme la version la plus à jour et la plus non vulnérable du site Web.
Automattic a poussé une mise à jour forcée, mais il est possible que certains sites ne l’aient pas reçue.
Il est recommandé à tous les utilisateurs du plugin concerné de vérifier que leurs installations sont mises à jour vers la version WooCommerce Payments Plugin 5.6.2.
Une fois la vulnérabilité corrigée, WooCommerce recommande de prendre les actions suivantes :
« Une fois que vous utilisez une version sécurisée, nous vous recommandons de rechercher tout utilisateur administrateur ou toute publication inattendue sur votre site. Si vous trouvez des signes d’activité inattendue, nous vous suggérons :
Mettre à jour les mots de passe de tous les utilisateurs administrateurs de votre site, surtout s’ils réutilisent les mêmes mots de passe sur plusieurs sites Web.
Rotation de toutes les clés API de passerelle de paiement et WooCommerce utilisées sur votre site. Voici comment mettre à jour vos clés API WooCommerce. Pour réinitialiser d’autres clés, veuillez consulter la documentation de ces plugins ou services spécifiques.
Lisez l’explication de la vulnérabilité WooCommerce :
Vulnérabilité critique corrigée dans les paiements WooCommerce – Ce que vous devez savoir
to www.searchenginejournal.com
Abonnez-vous à notre page Facebook: https://www.facebook.com/mycamer.net
Pour recevoir l’actualité sur vos téléphones à partir de l’application Telegram cliquez ici: https://t.me/+KMdLTc0qS6ZkMGI0
Nous ecrire par Whatsapp : Whatsapp +44 7476844931