Plusieurs vulnérabilités ont été identifiées sur dix modules additionnels WordPress

Plusieurs failles d'injections de code indirect à distance (XSS), injections de requêtes illégitimes par rebond (CSRF) et d'injections SQL ont été identifiées dans dix modules additionnels WordPress développés par Multidots. Leur exploitation pourrait permettre de télécharger des enregistreurs de frappes, des shells, des cryptomineurs et autres logiciels malveillants.

Les modules additionnels vulnérables sont disponibles sur theWordPress.org. Ils sont utilisés par près de 20 000 installations Wordpress.

Des chercheurs de ThreatPress ont publié les détails techniques des vulnérabilités accompagnées de leur preuve de concept (PoC).

 

Informations
+

Impact

  • Confidentialité des données;
  • Intégrité des données.

Criticité

  • CVSS v3 : Les scores CVSS n'ont pas encore été identifiés.

Existence d’un code d’exploitation de la vulnérabilité

  • Oui.

Composants & versions vulnérables

Les modules additionnels WordPress vulnérables sont:

  • WooCommerce Category Banner Management;
  • Add Social Share Messenger Buttons Whatsapp and Viber;
  • Advance Search for WooCommerce;
  • Eu Cookie Notice;
  • Mass Pages/Posts Creator;
  • Page Visit Counter;
  • WooCommerce Checkout For Digital Goods;
  • WooCommerce Enhanced Ecommerce Analytics Integration with Conversion Tracking;
  • WooCommerce Product Attachment;
  • WooCommerce Quick Reports.

CVE

  • CVE-2018-11579
  • CVE-2018-11580
  • CVE-2018-11633
  • CVE-2018-11632

 


Recommandations
+

Correctifs

  • Tous les plugins WordPress listés ci-dessus ne sont plus disponibles au téléchargement depuis le 23 mai 2018.

Solution de contournement

  • Il n’existe pas actuellement de solution de contournement.