Un plugin de widget crypto pour WordPress présente une vulnérabilité qui pourrait exposer des données sensibles, prévient l’agence de cybersécurité de Singapour.
L’Agence de cybersécurité de Singapour (CSA) a émis un avertissement critique concernant le plugin de widget « Cryptocurrency Widgets – Price Ticker & Coins List » pour WordPress, indiquant que les versions 2.0 à 2.6.5 sont vulnérables aux injections SQL via le paramètre « coinslist ».
La vulnérabilité provient d’un échappement insuffisant sur les paramètres fournis par l’utilisateur et d’une préparation inadéquate des requêtes SQL existantes, indique le CSA. Selon l’agence, la faille permet potentiellement à des attaquants non authentifiés d’injecter des requêtes SQL supplémentaires, extrayant potentiellement des informations sensibles de la base de données d’un site Web.
Selon le site WordPress, le plugin a été fourni par Narinder Singh, qui serait co-fondateur de CryptocurrencyPlugins by CoolPlugins.net.
Le marché de WordPress montre que le plugin développé par CoolPlugins.net compte plus de 10 000 téléchargements et plus de 150 avis lui donnant cinq étoiles, même s’il reste difficile de savoir combien d’utilisateurs sont concernés par les versions 2.0 à 2.6.5. Bien que la page du plugin indique une mise à jour vers la version 2.6.6, il n’est pas certain que la dernière mise à jour corrige la vulnérabilité. Au moment de mettre sous presse, Cool Plugins n’a pas commenté publiquement le problème.
En octobre 2023, crypto.news a signalé que de mauvais acteurs avaient commencé à utiliser les contrats intelligents de BNB Chain pour distribuer des logiciels malveillants, ciblant les sites Web créés avec WordPress. En injectant du code qui extrait des charges utiles partielles des contrats intelligents, les pirates peuvent intégrer secrètement des scripts dangereux, utilisant ainsi efficacement les contrats intelligents comme plates-formes d’hébergement anonymes et gratuites pour des activités malveillantes, préviennent les analystes en cybersécurité.
Voir l’article original en anglais
