L’équipe Threat Intelligence de Wordfence a découvert deux vulnérabilités dans Facebook Plugin WordPress Si ce n’est pas corrigé, il pourrait être exploité par un attaquant pour réaliser l’exécution de code à distance ou injecter du JavaScript malveillant dans les paramètres du plugin.
Facebook pour WordPress est un plugin qui crée une intégration transparente entre l’outil de mesure de conversion Facebook Pixel et un WordPress Page? ˅. Une fois installé, le plugin surveille le trafic du site et enregistre les données lorsque les utilisateurs accèdent aux pages et effectuent certaines actions sur un site.
La première faille découverte par Wordfence pourrait être utilisée par des attaquants non authentifiés qui ont accès aux sels et clés secrets d’un site pour y parvenir. Exécution de code à distance par une faiblesse de désérialisation. La société a divulgué de manière responsable la vulnérabilité à Facebook à la fin de l’année dernière et elle a maintenant été corrigée.
Facebook pour WordPress
Le deuxième bogue que l’équipe Wordfence Threat Intelligence a découvert dans Facebook pour WordPress a été introduit lorsque le plugin a été renommé avec le lancement de la version 3.0.0.
Si cette faille est exploitée, un attaquant peut potentiellement injecter JavaScript malveillant dans les paramètres du plugin si un attaquant a réussi à convaincre un administrateur WordPress d’effectuer une action telle que cliquer sur un lien. Wordfence a contacté l’équipe de sécurité de Facebook fin janvier de cette année pour les informer de la deuxième vulnérabilité.
Les deux vulnérabilités de Facebook pour WordPress doivent être traitées immédiatement, car la vulnérabilité d’injection d’objets PHP a un score CVSS de 9,0 et est considérée comme critique, tandis que la falsification de requêtes intersites a un score CVSS de 8,8 et est considérée comme élevée.
La version 3.0.5 du plugin Facebook pour WordPress est maintenant disponible et la dernière version du plugin contient des correctifs qui corrigent les deux vulnérabilités.
