Le plug-in WordPress UpdraftPlus est vulnérable et met potentiellement en danger des millions de sites web. Il permet de faire des sauvegardes des pages Internet créées avec le système de gestion de contenu (CMS) et de restaurer des pages complètes à partir de ces sauvegardes si nécessaire.

WordPress indique que le plug-in compte 3 millions d’installations actives. La faille de sécurité (CVE-2022-0633 « élevé« ), des chercheurs en sécurité de Jetpack sont tombés sur une faille. Dans un article, ils écrivent que les versions entre 1.16.7 (datant de mars 2019) et 1.22.3 sont concernées par la faille. Les développeurs d’UpdraftPlus indiquent qu’ils ont corrigé la faille dans les versions 1.22.3 et 2.22.3. En raison d’un bug, les versions 1.22.4 et 2.22.4 disponible.

Possibilité d’accès par des personnes non autorisées

En raison de cette faille, n’importe quel utilisateur enregistré sur un site pourrait théoriquement accéder aux sauvegardes réalisées avec le plug-in et en extraire des données. La faute en reviendrait à l’absence de vérification des droits d’administration de l’utilisateur. En fait, seuls les administrateurs sont autorisés à accéder aux copies de sauvegarde. Cela se ferait par l’envoi de demandes préparées. Les pirates pourraient ensuite télécharger les sauvegardes et les analyser.

Les développeurs indiquent que les mots de passe doivent être stockés sous forme de hachage dans les copies de sauvegarde, afin que les pirates ne puissent pas les utiliser facilement. La méthode de hachage utilisée n’est pas encore connue. Les développeurs indiquent n’avoir observé aucune attaque jusqu’à présent. Ils conseillent toutefois aux administrateurs de mettre rapidement à jour UpdraftPlus.