La vulnérabilité critique CVE-2023-3460 dans le plugin Ultimate Member pour WordPress vous permet d’ajouter un compte avec des privilèges d’administrateur sur le site, en contournant les mesures de sécurité. Des hackers malveillants l’ont adoptée.

Le plugin Ultimate Member est conçu pour faciliter l’enregistrement et la gestion des comptes sur le site ; il vous permet d’ajouter des profils d’utilisateurs, de leur attribuer des rôles, de créer des champs personnalisés dans des formulaires Web, des listes de membres de la communauté, etc.

Actuellement, cette extension WordPress compte plus de 200 000 installations actives. La vulnérabilité CVE-2023-3460 (9,8 points sur l’échelle CVSS) appartient à la classe d’élévation de privilèges et est causée par une protection imparfaite des clés de métadonnées contre la manipulation.

Le fait est qu’à cette fin, le membre ultime utilise des listes de blocage et les vérifie chaque fois qu’un utilisateur tente d’enregistrer une clé lors de la création d’un compte.

Il s’est avéré que ce mécanisme peut être contourné en forçant le plugin à modifier la valeur de wp_capabilities pour le nouvel utilisateur.

Au cours d’attaques actuelles, les pirates informatiques en possession de l’exploit créent des comptes et utilisent la faille pour modifier les métadonnées afin de s’inscrire dans le groupe d’administrateurs, d’obtenir un accès complet au site WordPress et d’installer une extension CMS malveillante via le panneau d’administration.

Il est fortement conseillé aux utilisateurs de toutes les versions du plugin, y compris la 2.6.6, qui a été publiée le 29 juin 2023, d’installer la version 2.6.7, de réinitialiser tous les mots de passe sur le site et de rechercher les comptes inconnus avec le rôle d’administrateur.