Vulnérabilités critiques dans les extensions WooEvents, WP Easy Gallery et LearnPress de WordPress.

  • Auteur/autrice de la publication :
  • Post category:Alertes et Avis

Origine : bjCSIRT

Numéro : 2024/ALERTE/060

Date de l’alerte : 25/09/2024

APERÇU :

Trois vulnérabilités critiques ont été découvertes dans les extensions WooEvents, WP Easy Gallery et LearnPress de WordPress.

DESCRIPTION :

WordPress est un système de gestion de contenu open source, permettant de créer et de gérer facilement des sites web. 

« LearnPress » est une extension de WordPress permettant de créer et de vendre plus facilement des cours en ligne. Cette extension est affectée par une vulnérabilité libellée CVE-2024-8522 qui permettrait à un acteur malveillant d’interagir avec la base de données afin de recueillir des informations confidentielles grâce au paramètre c_only_fields du chemin /wp-json/learnpress/v1/courses. Cette vulnérabilité est classée critique avec un score de sévérité de 10 selon le CVSS 3.1 

« Woo Events » est une extension WordPress utilisée pour créer et gérer des planificateurs d’évènements, des calendriers et tous les détails relatifs à des évènements en ligne.  Cette extension est affectée par une vulnérabilité libellée CVE-2024-8671 qui permettrait à un acteur malveillant non authentifié de supprimer arbitrairement des fichiers. L’exploitation de cette vulnérabilité pourrait conduire à une exécution de code à distance.  Cette vulnérabilité est classée critique avec un score de sévérité de 9.1 selon le CVSS 3.1. 

« WP Easy Gallery » est une extension de galerie WordPress permettant de créer des galeries d’image et des albums sur un site WordPress. Cette extension est affectée par une vulnérabilité libellée CVE-2024-8436 qui permettrait à un acteur malveillant authentifié d’interagir avec la base de données afin de recueillir des informations confidentielles. 

Cette vulnérabilité est classée critique avec un score de sévérité de 9.9 selon le CVSS 3.1. 

IMPACT :

  • Atteinte à la confidentialité et à l’intégrité des données ;
  • Exécution de code à distance ;
  • Compromission de l’intégrité du système. 

SYSTÈMES AFFECTÉS : 

  • La version 4.8.5 de WP Easy Gallery et toutes les versions antérieures 
  • La version 4.1.2 de WooEvents et toutes les versions antérieures
  • La version 4.2.7 de LearnPress et toutes les versions antérieures

MESURES À PRENDRE : 

  • Mettre à jour les extensions WooEvents , WP Easy Gallery et LearnPress vers leur version la plus récente.

RÉFÉRENCES :

Partagez sur vos réseaux.