WordPress : un célèbre plugin SEO contient deux failles de sécurité !
Le très célèbre plugin "All In One SEO" de WordPress contient deux failles de sécurité critiques, désormais corrigées au sein de la dernière mise à jour de l'extension. Ce plugin est utilisé par des millions de sites Internet.
Lorsque l'on administre un site Internet sous WordPress, on a forcément recours à l'utilisation à une extension pour optimiser son référencement sur les moteurs de recherche (SEO). Pour cela, on a le choix entre deux plugins qui sortent du lot : Yoast SEO et All In One SEO. D'ailleurs, sur la page de l'extension All In One SEO on peut voir qu'il y a plus de 3 millions d'installations actives.
Marc Montpas, un chercheur en sécurité de chez Automattic, a trouvé deux failles de sécurité au sein du plugin All In One SEO. La vulnérabilité "CVE-2021-25036" correspond à une élévation de privilèges (en étant préalablement authentifié) tandis que la vulnérabilité "CVE-2021-25036" est une injection SQL (en étant authentifié également).
Bien qu'il soit nécessaire d'être authentifié pour exploiter les vulnérabilités, cela est particulièrement dangereux et accessible, car de nombreux sites autorisent l'inscription des utilisateurs. Même si le rôle "Abonné" est attribué aux nouveaux inscrits, ce qui correspond au rôle avec le moins de privilèges, c'est suffisant pour qu'un attaquant soit en mesure d'exploiter ces failles de sécurité.
Depuis le 7 décembre 2021, une mise à jour du plugin All In One SEO est disponible afin de corriger ces deux failles de sécurité. La version à installer pour être protégé est All In One SEO 4.1.5.3. Le changelog du plugin précise : "Updated: Security hardening for REST API endpoints". Toutes les versions du plugin entre la 4.0.0 et la 4.1.5.2 sont vulnérables.
Si vous avez un site WordPress et que vous utilisez ce plugin, la mise à jour doit être réalisée sans attendre, mais c'est peut-être déjà fait, dans ce cas c'est tant mieux. Compte tenu du nombre d'installations actives de ce plugin, c'est certain que des milliers de sites sont actuellement vulnérables même si la mise à jour est sortie il y a environ 2 semaines. Cette popularité pourrait intéresser les pirates également.
