Un bogue critique dans Really Simple Security permet aux attaquants de se connecter sans mot de passe si la fonction AMF est activée. La fuite est si facile à exploiter qu’il faut absolument la corriger en priorité.
Le plugin populaire Really Simple Security est victime d’un bogue extrêmement critique. Celui-ci a été découvert par le spécialiste de la sécurité Wordfence. Wordfence, qui assure la sécurité de WordPress depuis 12 ans, estime que cette vulnérabilité est la plus grave qui soit apparue au cours de cette période. Environ quatre millions de sites WordPress utilisent Really Simple Security.
L’impact de ce bogue est majeur. En raison d’une ligne de code défectueuse dans l’implémentation d’AMF, dans certains cas, le plugin vérifie seulement si un utilisateur existe. Ainsi, lorsque le paramètre « login_nonce » est retourné comme étant invalide, le plugin continue d’authentifier l’utilisateur sur la base de l’identifiant uniquement.
Ironiquement, le bogue se produit lorsque les utilisateurs du plugin ont implémenté l’AMF et ont donc correctement appliqué les meilleures pratiques pour une sécurité accrue. Le bogue en question porte le nom de CVE-2024-10924 et affecte les versions 9.0.0 à 9.1.1.1 des éditions Gratuite, Pro et Pro Multisite.
Mises à jour automatiques
La version 9.1.2 du plugin Really Simple Security ne contient plus le bogue. Cette mise à jour a été publiée le 12 novembre pour les utilisateurs gratuits et le 14 novembre pour les utilisateurs de l’édition Pro. Les développeurs ont collaboré avec WordPress pour forcer le déploiement de la mise à jour et, dans de nombreux cas, ils ont réussi, mais certainement pas pour tout le monde.
Via
blasco IA