Cette veille se concentre sur une faille révélée le 24/01/2025 sur un plugin WordPress, qui a permis à des attaquants d’exécuter du code et de prendre le contrôle de sites web.
PRESENTATION DU PLUGIN
WPBookit est un plugin WordPress pour gérer les réservations en ligne, avec un système de paiements intégré et des confirmations d’emails.
Ce plugin est utilisé par des sites e-commerce, des gérants d’entreprise, des coachs, des freelances, des recruteurs, des consultants pour la prise de rendez-vous, et la gestion de rendez-vous simplifiée avec une interface très épurée.
Image d’illustration ci dessous:
Présentation de la faille
L’importation des images avait été mal configurée par les créateurs du plugin WordPress, qui autorisaient tous les types de fichiers sans aucune restriction. Des attaquants ont exploité cette faille de sécurité, puis les développeurs l’ont corrigée le 25 janvier 2025 dans la version 1.6.10. (Voici un exemple de ce qui aurait dû être fait pour empêcher la faille.)
La faille consistait à mettre un code pour accéder à des privilèges ou pour effectuer des actions sur le serveur du site web, comme récupérer une base de données de rendez-vous avec des coordonnées…
Voir la vidéo complète ici
Que faire dans ce cas ? Il faut tout simplement garder ses plugins à jour c’est la base de la sécurité. Si le correctif n’est pas encore sortit il est préférable de mettre son site web en mode maintenance, (Voir vidéo ici) pour éviter tout risque d’exploitation de la vulnérabilité.
D’où le principe de mettre en place une veille technologique pour éviter ce genre de désagrément. C’est une démarche essentielle pour anticiper les risques et maintenir la sécurité des systèmes.
Voici une démonstration guidée pour mettre à jour un plugin.
Conclusion
En conclusion, il est vraiment important de comprendre que les mises à jour de sécurité ne sont pas juste des détails, mais des actions cruciales pour protéger nos systèmes. Elles permettent de combler des failles qui pourraient être exploitées par des attaquants. Si on ignore ces mises à jour, on expose nos sites et nos données à des risques qu’on pourrait facilement éviter.
Source :
Caron Cyprien 27/01/2025