4 vulnérabilités des extensions WordPress à traiter immédiatement (Janvier 2025)

Imaginez que vous vous réveillez en découvrant que votre site WordPress a été piraté ou que vos données ont été compromises. Une situation effrayante, non? Les menaces de sécurité sont de plus en plus nombreuses, et les extensions WordPress obsolètes ou vulnérables constituent un point faible majeur.

Il est essentiel de rester à l'affût de ces problèmes pour assurer la sécurité de votre site web et de vos visiteurs. D'autant plus que la plupart des vulnérabilités ont des correctifs simples et faciles à appliquer.

Dans cet article, nous allons mettre en évidence quatre vulnérabilités majeures qui pourraient mettre votre site en danger et vous montrer exactement ce que vous devez faire pour les corriger dès aujourd'hui.

• 1. W3 Total Cache (Version 2.8.1)
• 2. GiveWP: Extension de Donation GiveWP et Plateforme de Collecte de Fonds (Version 3.19.2)
• 3. Page Builder par SiteOrigin (Version 2.3.10)
• 4. WPBookIt (Version 1.6.4)
• Pratiques générales pour la sécurité des extensions
• Conclusion

1. W3 Total Cache (Version 2.8.1)

Autorisation manquante pour une attaque de falsification de requête côté serveur par un abonné authentifié

W3 Total Cache, une extension d'optimisation des performances, présente une vulnérabilité permettant à des abonnés authentifiés de réaliser des attaques de falsification de requête côté serveur (SSRF). Cette vulnérabilité permet à un attaquant de manipuler des requêtes côté serveur, exposant potentiellement des ressources sensibles du serveur.

Vulnérabilité: CVE-2024-12365
Fournisseur: boldgrid

Ce qui peut arriver

Les attaquants peuvent exploiter cette faille pour: 

• Obtenir un accès non autorisé aux points d'extrémité du serveur interne
• Voler des données sensibles ou compromettre votre site.

Mesures à prendre

• Mettez à jour immédiatement: Passez à la dernière version du plugin.
• Restreignez les permissions des abonnés: Évitez d’accorder des capacités inutiles aux abonnés.

2. GiveWP: Extension de Donation GiveWP et Plateforme de Collecte de Fonds (Version 3.19.2)

Injection d'objet PHP non authentifiée

L’extension GiveWP, un choix populaire pour les organisations à but non lucratif acceptant des dons en ligne, présente une vulnérabilité d'injection d'objet PHP non authentifiée. Ce défaut permet aux attaquants d'exécuter du code PHP arbitraire ou de manipuler le comportement de l'application à distance.

Vulnérabilité: CVE-2024-12877
Fournisseur: webdevmattcrom

Ce qui peut arriver

Cette faille de sécurité peut permettre aux attaquants de:

• Obtenir un accès non autorisé aux données sensibles de l'application.
• Prendre le contrôle total de votre site web.

Mesures à prendre

• Mettez à jour immédiatement: Assurez-vous que votre plugin est mis à jour avec la dernière version corrigée.
• Surveillez les journaux du site web: Recherchez toute activité inhabituelle qui pourrait indiquer une tentative d’exploitation.
• Implémentez un pare-feu pour applications web (WAF): Des services comme Wordfence peuvent aider à bloquer les requêtes malveillantes ciblant cette vulnérabilité.

3. Page Builder par SiteOrigin (Version 2.3.10)

Cross-site scripting stocké par un contributeur authentifié

L’extension Page Builder de SiteOrigin, utilisée pour créer des mises en page dynamiques, présente une vulnérabilité de cross-site scripting (XSS) stockée par un contributeur authentifié. Ce problème provient d'une mauvaise validation du paramètre Row Label, permettant aux attaquants disposant d'accès de contributeur d'injecter des scripts malveillants.

Vulnérabilité: CVE-2024-12240
Fournisseur: gpriday

Ce qui peut arriver

Cette vulnérabilité peut permettre à des pirates de:

• Exécuter des scripts malveillants dans le navigateur de l'administrateur, ce qui conduit à un détournement de session ou à une redirection vers des sites d'hameçonnage.

Mesures à prendre

• Appliquez les mises à jour du plugin: Assurez-vous que le plugin est mis à jour vers une version résolvant cette vulnérabilité.
• Restreignez les rôles des utilisateurs: Limitez l’utilisation du rôle de Contributeur aux personnes de confiance.
• Utilisez des plugins de sécurité: Employez des outils pour détecter et prévenir les attaques XSS.

4. WPBookIt (Version 1.6.4)

Changement de mot de passe utilisateur arbitraire non authentifié

Utilisé pour les systèmes de réservation en ligne, WPBookIt présente une faille critique permettant un changement de mot de passe utilisateur arbitraire non authentifié. Cette vulnérabilité permet à un attaquant de réinitialiser les mots de passe de n’importe quel utilisateur, y compris les administrateurs.

Vulnérabilité: CVE-2024-10215
Fournisseur: Iqonic Design

Ce qui peut arriver

Les attaquants peuvent exploiter cette faille pour: 

• Prendre le contrôle de votre site en réinitialisant le mot de passe d'un administrateur.
• Refuser le service aux utilisateurs légitimes.

Mesures à prendre

• Mettez à jour immédiatement: Utilisez la dernière version sécurisée de WPBookIt.
• Auditez les comptes utilisateurs: Passez en revue et validez régulièrement les accès administrateurs.
• Activez l’authentification à deux facteurs (2FA): Activez la 2FA pour les comptes administrateurs afin de renforcer la sécurité des connexions.

Pratiques générales pour la sécurité des extensions

Pour protéger votre site web contre ces vulnérabilités et d’autres à venir :

• Maintenez vos extensions à jour: Utilisez toujours les dernières versions des extensions, car les développeurs publient fréquemment des correctifs pour les vulnérabilités identifiées.
• Supprimez les extensions non utilisées: Désactivez et supprimez les extensions que vous n’utilisez plus pour réduire votre surface d’attaque.
• Réalisez des audits de sécurité réguliers: Utilisez des outils comme Wordfence ou Sucuri pour scanner votre site web à la recherche de vulnérabilités.
• Sauvegardez votre site web: Effectuez des sauvegardes régulières pour assurer une récupération rapide en cas d’attaque.
• Formez votre équipe: Entraînez les utilisateurs ayant des accès administratifs ou de contributeur à reconnaître et à éviter les risques potentiels.

Conclusion

WordPress est une plateforme flexible et puissante, mais elle nécessite une vigilance constante pour maintenir la sécurité. En vous tenant informé des vulnérabilités telles que celles de GiveWP, Page Builder de SiteOrigin, W3 Total Cache, and WPBookIt, vous pouvez prendre des mesures proactives pour protéger votre site web et ses utilisateurs. Rappelez-vous, des mises à jour rapides et des mesures de sécurité robustes sont vos meilleures défenses contre les menaces potentielles.

Vous pouvez également compter sur les Services Pro de WHC pour s’occuper de la maintenance et garantir que votre site est toujours en parfait état, vous laissant libre de vous concentrer sur la gestion de votre entreprise.