Un avis de vulnérabilité a été émis pour un plugin de contacts WordPress Form 7 qui permet aux attaquants non authentifiés de lancer «facilement» une exécution de code distante. La vulnérabilité est évaluée élevée (8,8 / 10) sur l’échelle de gravité des menaces CVSS.
Capture d’écran de Wordfence Advisory montrant une cote de gravité de 8,8 CVSSRedirection du Formulaire de contact 7 plugin
La vulnérabilité affecte la redirection du plugin WordPress du formulaire de contact 7, qui est installée sur plus de 300 000 sites Web. Le plugin étend la fonctionnalité du plugin de contact populaire 7. Il permet à un éditeur de site Web non seulement de rediriger un utilisateur vers une autre page, mais aussi de stocker les informations dans une base de données, d’envoyer des notifications par e-mail et de bloquer les soumissions de formulaires de spam.
La vulnérabilité se produit dans une fonction de plugin. Les fonctions WordPress sont des extraits de code PHP qui fournissent des fonctionnalités spécifiques. La fonction spécifique qui contient la faille est appelée fonction delete_associated_files. Cette fonction contient un défaut de validation de chemin de fichier insuffisant, ce qui signifie qu’il ne valide pas ce qu’un utilisateur peut saisir dans la fonction qui supprime les fichiers. Ce défaut permet à un attaquant de spécifier un chemin vers un fichier à supprimer.
Ainsi, un attaquant peut spécifier un chemin (tel que ../../wp-config.php) et supprimer un fichier critique comme wp-config.php, en clarifiant la voie à une attaque d’exécution de code distant (RCE). Une attaque RCE est un type d’exploit qui permet à un attaquant d’exécuter du code malveillant à distance (de n’importe où sur Internet) et de prendre le contrôle du site Web.
L’avis de WordFence explique:
« Cela permet aux attaquants non authentifiés de supprimer des fichiers arbitraires sur le serveur, ce qui peut facilement conduire à une exécution de code distante lorsque le bon fichier est supprimé (comme WP-Config.php). »
La vulnérabilité affecte toutes les versions du plugin jusqu’à et y compris la version 3.2.4. Les utilisateurs du plugin affecté sont invités à mettre à jour le plugin vers la dernière version.
Image en vedette par Shutterstock / Everybodyphoto Studio
Commentaires