Plugins WordPress piratés, dangereux & vulnérables

Plugins WordPress piratés, dangereux & vulnérables

Avec plus de 47 000 plugins dans le référentiel WordPress officiel et des milliers d’autres disponibles sur divers marchés et sites, trouver ceux qui fonctionnent bien est une tâche ardue. Trouver des plugins WordPress sécurisés et qui ne mettent pas votre site en danger est une tâche encore plus ardue en raison de la nature complexe de la sécurité WordPress et de ses plugins volumineux avec des milliers de lignes de code.

Bien que nous ne puissions pas vous aider à éviter chaque mauvais plug-in, nous pouvons identifier ceux qui ont des vulnérabilités connues et des problèmes de sécurité confirmés. Sauf si vous savez ce que vous faites, que vous testez quelque chose sur une installation locale ou que vous utilisez la sécurité WordPress, vous ne devez pas utiliser les plugins dangereux répertoriés ci-dessous sur les sites de production. Les problèmes décrits dans le tableau ci-dessous sont bien connus et documentés, ce qui permet à toute personne mal intentionnée d’exploiter ces failles de sécurité et d’attaquer votre site.

Types de vulnérabilité

Un rappel rapide des failles et problèmes de sécurité les plus courants auxquels sont confrontés les plugins WordPress. Veuillez noter que la plupart des problèmes sont une combinaison de deux types ou plus énumérés ci-dessous.

Visualisation de fichier arbitraire
Au lieu d’autoriser uniquement l’affichage de certaines sources de fichiers (par exemple, des modèles de plug-in), l’absence de contrôles dans le code permet à l’attaquant de consulter la source de tout fichier, y compris ceux contenant des informations sensibles telles que wp-config.php.

Téléchargement de fichier arbitraire
L’absence de type de fichier et de filtrage du contenu permet le téléchargement de fichiers arbitraires pouvant contenir du code exécutable qui, une fois exécuté, peut faire à peu près n’importe quoi sur un site.

Escalade de privilèges
Une fois que l’attaquant a un compte sur le site, même s’il ne s’agit que du type abonné, il peut élever ses privilèges à un niveau supérieur, y compris celui des administrateurs.

Injection SQL
En évitant de filtrer et de filtrer les données qui entrent dans les requêtes SQL, du code malveillant peut être injecté dans les requêtes et les données supprimées, mises à jour ou insérées dans la base de données. C’est l’une des vulnérabilités les plus courantes.

Exécution de code à distance (RCE)
Au lieu de télécharger et d’exécuter du code malveillant, l’attaquant peut l’exécuter à partir d’un emplacement distant. Le code peut tout faire, du piratage du site à sa suppression complète.

List of hacked, dangerous & vulnerable WordPress plugins

… Lire la suite : https://firstsiteguide.com/tools/free-fsg/hacked-dangerous-vulnerable-wordpress-plugins/

Sources

The list of latest dangerous and vulnerable WordPress plugins is compiled from various sources including:

• WPScan Vulnerability Database
• Offensive Security’s Exploit Database Archive
• Vapid Labs
• CVE Details
• Plugin Vulnerabilities
• Wordfence

Autres liens utiles :

• https://wordpress.org/news/category/security/
• https://wordpress.org/support/article/hardening-wordpress/
• https://make.wordpress.org/core/handbook/testing/reporting-security-vulnerabilities/
• https://www.wordfence.com/blog/