Une faille critique dans Essential Addons for Elementor expose plus d’un million de sites WordPress
Nouvelle alerte pour les utilisateurs de WordPress, et plus particulièrement de l'extension Essential Addons for Elementor : une faille de sécurité qui pourrait permettre de prendre le contrôle d'un site a été découverte. Faisons le point.
La faille de sécurité qui affecte l'extension Essential Addons for Elementor est associée à la référence CVE-2023-32243. Elle pourrait bien faire des ravages, car on parle tout de même d'une extension avec plus d'un million d'installations actives ! En fait, il s'agit d'une extension complémentaire à Elementor, un page builder pour WordPress.
Cela est d'autant plus plausible qu'en exploitant cette vulnérabilité, un attaquant peut réinitialiser le mot de passe d'un utilisateur du site WordPress, à condition de connaitre le nom de l'utilisateur. Tout en sachant qu'il existe des techniques pour énumérer les utilisateurs sur un site WordPress. Donc sur un site avec une version vulnérable de l'extension, ce sera plus ou moins facile pour l'attaquant : tout dépend si l'administrateur a activé ce type de protection, et aussi, si le nom du compte admin a été modifié.
Potentiellement, des milliers de sites pourraient être compromis à cause de cette vulnérabilité. Voici ce que précise le chercheur en sécurité Rafie Muhammad : "Ce plugin souffre d'une vulnérabilité d'élévation de privilèges (sans être authentifié) et permet à tout utilisateur non authentifié d'élever ses privilèges à ceux de n'importe quel utilisateur du site WordPress." - Ce chercheur en sécurité de chez PatchStack a trouvé cette vulnérabilité le 8 mai 2023.
Comment se protéger ?
Pour se protéger, c'est simple puisqu'il suffit de mettre à jour l'extension sur son site WordPress ! Depuis le 11 mai 2023, Essential Addons for Elementor 5.7.2 est disponible et cette version intègre un correctif pour cette vulnérabilité. Tout en sachant que cette vulnérabilité est présente dans l'extension depuis la version 5.4.0 (et donc jusqu'à la version 5.7.1).
Pour rappel, au début du mois d'avril 2023, l'extension Elementor Pro pour WordPress a déjà fait l'objet d'une alerte suite à la découverte d'une faille de sécurité critique exploitée dans le cadre d'attaques (voir ici).
