Fin avril, Wordfence a découvert une vulnérabilité critique dans Plugin Google Site Site pour WordPress cela permettrait à tout utilisateur du site d’accéder pleinement à la Google Search Console sans en vérifier la propriété. Google a corrigé la vulnérabilité et publié le correctif dans la version 1.8.0 le 7 mai 2020.

Wordfence publié une chronologie de la vulnérabilité, la décrivant comme une divulgation proxySetupURL:

Afin d’établir la première connexion avec Site Kit et Google Search Console, le plug-in génère un proxySetupURL qui est utilisé pour rediriger l’administrateur d’un site vers Google OAuth et exécuter le processus de vérification du propriétaire du site via un proxy. En raison du manque de vérification des capacités de l’action admin_enqueue_scripts, proxySetupURL a été affiché dans le cadre du code source HTML des pages d’administration pour tout utilisateur authentifié accédant au tableau de bord / wp-admin.

L’autre aspect de la vulnérabilité est lié à la demande de vérification de la propriété du site, qui a utilisé une action d’administration enregistrée qui manquait des vérifications de capacité. En conséquence, tout utilisateur WordPress authentifié était capable d’initier la demande.

Wordfence a identifié plusieurs façons dont un attaquant malveillant pourrait utiliser cette vulnérabilité au détriment du classement et de la réputation du site, notamment en manipulant les résultats des moteurs de recherche, en demandant la suppression des URL d’un concurrent du moteur de recherche, en modifiant les sitemaps, en affichant les données de performances, etc.

Les correctifs de sécurité ne sont pas détaillés dans le plugin changelog sur GitHub. Cependant, il comprend une note en haut qui indique: «Cette version inclut des correctifs de sécurité. Une mise à jour est fortement recommandée. » Google n’a pas publié de message pour informer les utilisateurs du nouvelles section du site officiel du plugin. Sans la divulgation publique de Wordfence, les utilisateurs peuvent ne pas connaître l’importance de la mise à jour.

Plugin Google Site Kit a plus de 400 000 installations actives, selon WordPress.org. Les détails de la mise à jour 1.8.0 ne sont pas disponibles pour les utilisateurs dans l’admin, car le changelog du plugin est hébergé sur GitHub. Il n’y a aucun moyen pour les utilisateurs de savoir que la mise à jour comprend des correctifs de sécurité sans cliquer sur pour effectuer une recherche. En raison de la grande quantité d’informations sensibles auxquelles les attaquants pourraient accéder, il est conseillé aux utilisateurs de mettre à jour le plugin dès que possible.


Source link

%d blogueurs aiment cette page :