Fuite de la base de données dans le plugin WordPress UpdraftPlus, qui compte 3 millions d'installations

Une vulnérabilité dangereuse (CVE-2022-0633) a été identifiée dans l'extension UpdraftPlus pour WordPress, qui compte plus de 3 millions d'installations actives. Elle permet à un utilisateur non autorisé de télécharger une copie de la base de données du site, contenant non seulement le contenu, mais aussi les paramètres de tous les utilisateurs et les hachages des mots de passe. Le problème a été corrigé dans les versions 1.22.3 et 2.22.3, qu'il est recommandé d'installer dès que possible pour tous les utilisateurs d'UpdraftPlus.

UpdraftPlus est présenté comme l'extension la plus populaire pour créer des sauvegardes de sites fonctionnant sous WordPress. En raison d'une vérification incorrecte des droits d'accès, l'extension permettait de télécharger une sauvegarde du site et la base de données associée non seulement aux administrateurs, mais aussi à tout utilisateur enregistré sur le site, comme un abonné.

Pour télécharger des sauvegardes dans UpdraftPlus, un identifiant est généré basé sur la date de création de la sauvegarde et une séquence aléatoire (nonce). Le problème est que, en raison de l'absence de vérifications adéquates dans le gestionnaire de requêtes heartbeat de WordPress, tout utilisateur peut obtenir des informations sur la dernière sauvegarde à l'aide d'une requête spécialement formatée, y compris les détails sur l'heure et la séquence aléatoire associée.

Ensuite, sur la base des informations obtenues, il est possible de générer un identifiant et de charger une sauvegarde en utilisant la méthode de téléchargement par email. La fonction utilisée dans cette méthode, maybe_download_backup_from_email, nécessite d'accéder à la page options-general.php, accessible uniquement à l'administrateur. Cependant, un attaquant peut contourner cette restriction en usurpant la variable $pagenow utilisée lors de la vérification et en envoyant une requête via une page d'assistance permettant l'accès aux utilisateurs non privilégiés. Par exemple, il est possible d'accéder via la page d'envoi de message à l'administrateur en envoyant une requête sous la forme « wp-admin/admin-post.php//wp-admin/options-general.php?page=updraftplus ».

Source : opennet.ru