Le plugin Crypto Widget WordPress est considéré comme un risque de cybersécurité « critique »
Un plugin de widget crypto pour le système de gestion de contenu Web WordPress a été désigné hier comme un « risque critique de cybersécurité ».
Un bulletin de sécurité publié par la Cyber Security Agency of Singapore (CSA) a noté qu'un plugin, appelé « The Cryptocurrency Widgets – Price Ticker & Coins List » a été identifié comme un risque de cybersécurité et pourrait potentiellement être exploité pour extraire des informations sensibles.
Le widget crypto a obtenu un score de base de 9,8/10, le plaçant dans le groupe de vulnérabilités « critiques » que la CSA utilise pour désigner les vulnérabilités avec un score minimum de 9/10.
La National Vulnerability Database (NVD), le référentiel du gouvernement américain pour les données de gestion des vulnérabilités basées sur des normes, a déclaré que le plugin crypto WordPress est susceptible d'être victime d'une injection SQL via le paramètre « coinslist » dans les versions 2.0 à 2.6.5.
Cette vulnérabilité est due à un échappement insuffisant du paramètre fourni par l'utilisateur et à une préparation inadéquate de la requête SQL existante. Elle a permis l'extraction d'informations sensibles de la base de données, permettant à des attaquants non authentifiés d'ajouter des requêtes en langage structuré supplémentaires à celles existantes.
Selon la société de sécurité CVE Program, le widget a été fourni par un fournisseur identifié comme « narinder-singh » et les versions 2.0 à 2.6.5 ont été identifiées comme contenant la vulnérabilité.
