La base de données nationale des vulnérabilités des États-Unis a publié un avis sur deux vulnérabilités découvertes dans le plugin All In One SEO WordPress.
Le plug-in All In One SEO (AIOSEO), qui compte plus de trois millions d’installations actives, est vulnérable à deux attaques de script intersite (XSS).
Les vulnérabilités affectent toutes les versions d’AIOSEO jusqu’à la version 4.2.9 incluse.
Script intersite stocké
Les attaques de script intersite (XSS) sont une forme d’exploitation par injection qui implique l’exécution de scripts malveillants dans le navigateur d’un utilisateur, ce qui peut ensuite conduire à l’accès à des cookies, à des sessions utilisateur et même à une prise de contrôle de site.
Les deux formes les plus courantes d’attaques de type “Cross-Site Scripting” sont :
- Script intersite réfléchi
- Script intersite stocké
Un XSS réfléchi repose sur l’envoi d’un script à un utilisateur qui clique dessus, qui se dirige vers le site vulnérable qui “renvoie” ensuite l’attaque à l’utilisateur.
Un XSS stocké se produit lorsque le script malveillant se trouve sur le site vulnérable lui-même.
Les pirates profitent de toute forme d’entrée sur le site Web, comme un formulaire de contact, un formulaire de téléchargement d’images, toute zone où quelqu’un peut télécharger ou faire une soumission.
La vulnérabilité survient lorsque les contrôles de sécurité sont insuffisants pour bloquer les entrées indésirables.
Les deux problèmes affectant le plug-in AIOSEO sont tous deux des vulnérabilités de script intersite stocké.
CVE-2023-0585
Les vulnérabilités sont numérotées pour en garder une trace. Le premier a été attribué, CVE-2023-0585.
Cette vulnérabilité provient d’un échec de nettoyage des entrées. Cela signifie qu’un filtrage insuffisant est effectué pour empêcher un pirate de télécharger un script malveillant.
L’avis de la base de données nationale sur les vulnérabilités (NVD) le décrit comme suit :
« Le plug-in All in One SEO Pack pour WordPress est vulnérable aux scripts intersites stockés via plusieurs paramètres dans les versions jusqu’à 4.2.9 incluses en raison d’une désinfection insuffisante des entrées et de l’échappement des sorties.
Cela permet aux attaquants authentifiés avec un rôle d’administrateur ou supérieur d’injecter des scripts Web arbitraires dans des pages qui s’exécuteront chaque fois qu’un utilisateur accédera à une page injectée.
La vulnérabilité a reçu un niveau de menace de 4,4 (sur dix), qui est un niveau moyen.
Un attaquant doit d’abord acquérir des privilèges d’administrateur ou plus pour perpétrer cette attaque.
CVE-2023-0586
Cette attaque est similaire à la première. La principale différence est qu’un attaquant doit assumer au moins un niveau de privilège d’accès au site Web de contributeur.
Un rôle de niveau contributeur a la capacité de créer du contenu mais pas de le publier.
La vulnérabilité est également une menace de niveau moyen, mais elle se voit attribuer un score de vulnérabilité plus élevé de 6,4.
Voici le descriptif :
« Le plug-in All in One SEO Pack pour WordPress est vulnérable aux scripts intersites stockés via plusieurs paramètres dans les versions jusqu’à 4.2.9 incluses en raison d’une désinfection insuffisante des entrées et de l’échappement des sorties.
Cela permet aux attaquants authentifiés avec le rôle Contributeur + d’injecter des scripts Web arbitraires dans des pages qui s’exécuteront chaque fois qu’un utilisateur accédera à une page injectée.
Action recommandée
La première vulnérabilité nécessite des privilèges de niveau administrateur et se voit attribuer un score de niveau de menace moyen relativement faible de 4,4.
Mais la deuxième vulnérabilité ne nécessite qu’un niveau de privilège inférieur et est notée plus haut à 6,4.
C’est généralement une bonne politique de mettre à jour tous les plugins vulnérables. La version 4.3.0 du plugin AIOSEO est celle qui contient le correctif de sécurité, mentionné dans l’officiel Journal des modifications AIOSEO en tant que “renforcement de la sécurité” supplémentaire.
Lisez les détails des deux vulnérabilités :
Image sélectionnée par Shutterstock/Bangun Stock Productions
to www.searchenginejournal.com
Abonnez-vous à notre page Facebook: https://www.facebook.com/mycamer.net
Pour recevoir l’actualité sur vos téléphones à partir de l’application Telegram cliquez ici: https://t.me/+KMdLTc0qS6ZkMGI0
Nous ecrire par Whatsapp : Whatsapp +44 7476844931
Jeu de briques
Snake
Pacman
Bubble