WordFence a publié un avis sur le plugin de scanner malveillant malcure WordPress, qui a été découvert pour avoir une vulnérabilité évaluée à un niveau de gravité de 8.1. Au moment de la publication, il n’y a pas de correctif pour résoudre le problème.
Capture d’écran montrant 8.1 Évaluation de la gravité
Vulnérabilité du scanner malveillant Malcure
Le plugin de scanner Malcure Malware, installé sur plus de 10 000 sites Web WordPress, est vulnérable à la «suppression arbitraire de fichiers en raison d’une vérification de capacité manquante sur la fonction WPMR_DELETE_FILE ()» par des attaquants authentifiés. Le fait qu’un attaquant ait besoin d’authentification en tant qu’utilisateur rend un peu moins probable qu’il soit exploité, mais pas grand-chose car il ne nécessite que l’authentification du niveau d’abonné, ce qui est le niveau d’authentification le plus bas. Le rôle «d’abonné» est le niveau d’enregistrement par défaut sur un site Web WordPress (si l’enregistrement est autorisé).
Selon Clôture:
« Cela permet aux attaquants authentifiés, avec un accès au niveau des abonnés et au-dessus, de supprimer les fichiers arbitraires rendant l’exécution de code distante possible. Ceci n’est exploitable que lorsque le mode avancé est activé sur le site. »
Il n’y a aucun correctif connu disponible pour le plugin et les utilisateurs sont avertis de prendre les mesures nécessaires telles que la désinstallation du plugin pour atténuer les risques.
Le plugin n’est actuellement pas disponible pour le téléchargement avec un avis montrant qu’il est en cours d’examen.
Capture d’écran du plugin Malcure au référentiel WordPress
En savoir plus WordPress News
MISE À JOUR WORDPRESS 6.8.2 – met fin à la prise en charge de la sécurité pour 0,9% des sites
Image en vedette par Shutterstock / Kues
Commentaires