Le plugin WordPress WPS Hide Login a récemment corrigé une vulnérabilité qui expose la page de connexion secrète des utilisateurs. La vulnérabilité permet à un pirate informatique malveillant de contrecarrer l’objectif du plugin (masquer la page de connexion), ce qui peut exposer le site à une attaque pour déverrouiller le mot de passe et la connexion.
Essentiellement, la vulnérabilité va à l’encontre du but recherché par le plugin lui-même, qui est de masquer la page de connexion WordPress.
WPS Masquer la connexion
Le plug-in de sécurité WPS Hide Login empêche les pirates informatiques d’accéder à un site WordPress en masquant la page de connexion de l’administrateur et en rendant le répertoire wp-admin inaccessible.
WPS Hide Login est utilisé par plus d’un million de sites Web pour ajouter une couche de sécurité plus profonde.
Publicité
Continuer la lecture ci-dessous
Vaincre les pirates et les robots pirates qui attaquent la page de connexion par défaut d’un site WordPress n’a pas réellement besoin d’un plugin. Un moyen plus simple d’accomplir la même chose consiste à installer WordPress dans un dossier de répertoire avec un nom aléatoire.
Ce qui se passe, c’est que les robots pirates de la page de connexion rechercheront la page de connexion normale, mais elle n’existe pas à l’emplacement URL attendu.
Au lieu d’exister dans /wp-login.php, la page de connexion est effectivement cachée dans /random-file-name/wp-login.php.
Les robots de connexion supposent toujours que la page de connexion WordPress est à l’emplacement par défaut, ils ne la recherchent donc jamais à un autre emplacement.
Publicité
Continuer la lecture ci-dessous
Le plugin WPS Hide Login WordPress est utile pour les sites qui ont déjà installé WordPress à la racine, c’est-à-dire example.com/.
Rapport de vulnérabilité
La vulnérabilité a été signalée publiquement sur la page de support du plugin.
Un utilisateur du plugin a signalé que si la page d’accueil principale était redirigée, l’ajout d’un nom de fichier spécifique à l’URL qui redirige exposera l’URL de la page de connexion cachée.
Voici comment ils l’ont expliqué :
« Par exemple avec le domaine suivant : sub.domain.com si domain.com redirige vers sub.domain.com il y a le contournement suivant :
En entrant l’URL domain.com et en ajoutant /wp-admin/options.php, il redirige vers sub.domain.com/changedloginurl et vous voyez l’URL de connexion et pouvez vous connecter.
Le site de sécurité a publié une preuve de concept
WPScan, une organisation de sécurité WordPress a publié une preuve de concept. Une preuve de concept est une explication qui montre qu’une vulnérabilité est réelle.
Les chercheurs en sécurité ont publié :
“Le plugin a un bug qui permet d’obtenir la page de connexion secrète en définissant une chaîne de référence aléatoire et en faisant une demande à /wp-admin/options.php en tant qu’utilisateur non authentifié.
Preuve de concept
curl -referer “quelque chose” -sIXGET https://example.com/wp-admin/options.php
HTTP/2 302″
La base de données nationale de vulnérabilité du gouvernement des États-Unis a classé la vulnérabilité comme un exploit de haut niveau, lui attribuant un score de 7,5 sur une échelle de 1 à 10, un score de 10 représentant le niveau de menace le plus élevé.
Publicité
Continuer la lecture ci-dessous
WPS Hide Login Vulnérabilité corrigée
Les éditeurs du plugin WPS Hide Login ont mis à jour le plugin en corrigeant la vulnérabilité.
Le correctif est contenu dans la version 1.9.1.
Selon le journal des modifications de connexion WPS :
« 1.9.1
Correction : problème de sécurité de contournement permettant à un utilisateur non authentifié d’obtenir une page de connexion en définissant une chaîne de référence aléatoire via une requête curl.page en définissant une chaîne de référence aléatoire via une requête curl.
Les utilisateurs du plugin concerné peuvent envisager de mettre à jour vers la dernière version, 1.9.1, afin de masquer efficacement leur page de connexion.
Citations
Base de données nationale sur les vulnérabilités du gouvernement américain
Rapport WPScan sur la vulnérabilité de connexion WPS Hide
WPS Hide Login < 1.9.1 – Contournement de la protection avec Referer-Header
Publicité
Continuer la lecture ci-dessous
Rapport de vulnérabilité de plug-in
Bypass-PROBLÈME DE SÉCURITÉ !!!
Journal officiel des modifications du plugin
WPS Masquer le journal des modifications de connexion
— to www.searchenginejournal.com