Un avis a été émis concernant une vulnérabilité dans le plugin Customer Reviews for WooCommerce, qui est installé sur plus de 80 000 sites web. Ce plugin permet à des attaquants non authentifiés de lancer une attaque de cross-site scripting (XSS) stockée.

Vulnérabilité du plugin Customer Reviews for WooCommerce

Le plugin Customer Reviews for WooCommerce offre la possibilité d’envoyer aux clients un email de rappel pour laisser un avis et propose également d’autres fonctionnalités visant à renforcer l’interaction des clients avec la marque.

Un avertissement a été émis par Wordfence au sujet d’une faille dans ce plugin, permettant aux attaquants d’injecter des scripts dans des pages web qui s’exécutent chaque fois qu’un utilisateur visite la page concernée.

Cette vulnérabilité provient d’une incapacité à sanitiser les entrées et à échappement les sorties. La sanitisation des entrées, dans ce contexte, représente une mesure de sécurité de base sur WordPress qui vérifie si les données téléchargées respectent les types attendus et élimine les contenus dangereux comme les scripts. L’échappement des sorties est une autre mesure de sécurité garantissant que tous les caractères spéciaux générés par le plugin ne soient pas exécutables.

Selon l’avis officiel de Wordfence :

“Le plugin Customer Reviews for WooCommerce pour WordPress présente une vulnérabilité de cross-site scripting stocké via le paramètre ‘author’ dans toutes les versions allant jusqu’à, et comprenant, la version 5.80.2, en raison de sanitisation insuffisante des entrées et d’échappement des sorties. Cela permet à des attaquants non authentifiés d’injecter des scripts web arbitraires dans des pages qui s’exécutent dès qu’un utilisateur accède à une page injectée.”

Les utilisateurs de ce plugin sont invités à mettre à jour vers la version 5.81.0 ou une version plus récente.

Image mise en avant par Shutterstock/Brilliant Eye