Les chercheurs en sécurité de Wordfence ont détaillé une faille de sécurité critique dans le plugin MW WP Form, affectant les versions 5.0.1 et antérieures. La vulnérabilité permet à des acteurs malveillants non authentifiés d’exploiter le plugin en téléchargeant des fichiers arbitraires, y compris des portes dérobées PHP potentiellement malveillantes, avec la possibilité d’exécuter ces fichiers sur le serveur.
Plugin de formulaire MW WP
Le plugin MW WP Form permet de simplifier la création de formulaires sur les sites Web WordPress à l’aide d’un générateur de shortcode.
Le plugin possède de nombreuses fonctionnalités, dont une qui permet le téléchargement de fichiers à l’aide du shortcode [mwform_file name=”file”] à des fins de collecte de données. C’est cette fonctionnalité spécifique qui est exploitable dans cette vulnérabilité.
Vulnérabilité de téléchargement de fichiers arbitraires non authentifiés
Une vulnérabilité de téléchargement de fichiers arbitraires non authentifiés est un problème de sécurité qui permet aux pirates informatiques de télécharger des fichiers potentiellement dangereux sur un site Web. Non authentifié signifie que l’attaquant n’a pas besoin d’être enregistré sur le site Web ni d’avoir besoin d’un niveau d’autorisation associé à un niveau d’autorisation utilisateur.
Ces types de vulnérabilités peuvent conduire à l’exécution de code à distance, où les fichiers téléchargés sont exécutés sur le serveur, avec le potentiel de permettre aux attaquants d’exploiter le site Web et les visiteurs du site.
L’avis de Wordfence indique que le plugin vérifie les types de fichiers inattendus mais qu’il ne fonctionne pas comme il le devrait.
Selon les chercheurs en sécurité :
« Malheureusement, bien que la fonction de vérification du type de fichier fonctionne parfaitement et renvoie false pour les types de fichiers dangereux, elle génère une exception d’exécution dans le bloc try si un type de fichier non autorisé est téléchargé, qui sera intercepté et géré par le bloc catch.
… Même si le type de fichier dangereux est vérifié et détecté, il est uniquement enregistré, tandis que la fonction continue de s’exécuter et que le fichier est téléchargé.
Cela signifie que les attaquants pourraient télécharger des fichiers PHP arbitraires, puis accéder à ces fichiers pour déclencher leur exécution sur le serveur, réalisant ainsi l’exécution de code à distance.
Il existe des conditions pour une attaque réussie
La gravité de cette menace dépend de l’exigence selon laquelle l’option « Enregistrement des données de demande dans la base de données » dans les paramètres du formulaire doit être activée pour que cette faille de sécurité soit exploitée.
L’avis de sécurité indique que la vulnérabilité est jugée critique avec un score de 9,8 sur 10.
Actions à entreprendre
Wordfence conseille fortement aux utilisateurs du plugin MW WP Form de mettre à jour leurs versions du plugin.
La vulnérabilité est corrigée dans la version lutes du plugin, version 5.0.2.
Lire aussi
Nouvelle cyberattaque contre la Fédération française de tir : près de 587 000 licenciés concernés
La gravité de la menace est particulièrement critique pour les utilisateurs qui ont activé l’option « Enregistrement des données de requête dans la base de données » dans les paramètres du formulaire, et cela est aggravé par le fait qu’aucun niveau d’autorisation n’est nécessaire pour exécuter cette attaque.
À propos de Gabriel
Spécialisé dans le référencement naturel SEO et l'acquisition de trafic depuis 2008. Je vous accompagne dans la création de site internet et le développement de votre visibilité (SEO, SEA) pour augmenter votre chiffre d'affaires sur internet.
