WordPress 4.7.1 fixe 8 failles de sécurité

WordPress 4.7.1 a été officiellement publié le 11 janvier, permettant aux utilisateurs du populaire système de gestion de contenu open-source une mise à jour qui règle 62 bugs et 8 problèmes de sécurité. Les développeurs de WordPress encouragent les utilisateurs du CMS à appliquer cette nouvelle mise à jour, publiée cette semaine. Cette mise à jour permet de résoudre ces 8 problèmes de sécurité, y compris une poignée de bogues permettant des attaques de type cross-site scripting (XSS) et cross-site request forgery (CSRF). Dans cet article, vous aurez plus de détails sur ces 8 failles de sécurité et comment éviter une bonne fois pour toute les failles de sécurité WordPress.

Les détails sur les 8 failles de sécurité WordPress

Les détails sur les 8 failles de #sécurité #WordPress Click To Tweet

Alors que Vaughan (pseudonyme de cette release de WordPress en l’honneur de la légendaire chanteuse de jazz américaine Sarah “Sassy” Vaughan),  a été accueilli avec enthousiasme depuis sa sortie en décembre, les développeurs disent que les versions 4.7 et antérieures sont affectées par au moins huit problèmes de sécurité et un certain nombre de bugs. Les développeurs de WordPress ont annoncé cette semaine la disponibilité immédiate des mises à jour de sécurité et de maintenance de WordPress 4.7.1 qui corrige également 62 bogues à partir de la version 4.7.

Les versions de WordPress 4.7 et antérieures sont affectées par 8 failles de sécurité :

  1. Remote code execution (RCE) dans PHPMailer – “Aucun problème spécifique n’apparaît sur WordPress ou sur l’un des principaux plugins que nous avons étudiés, mais, avec beaucoup de prudence, nous avons mis à jour PHPMailer dans cette version” – Reporté par Dawid Golunski et Paul Buonopane.
  2. TREST API expose les données utilisateurs à tous ceux ayant les droits de publication d’un article public. WordPress 4.7.1 met en place des limitations spécifiques sur l’API REST. Reporté par Krogsgard et Chris Jean.
  3. Cross-site scripting (XSS) via via le nom d’un plugin dans update-core.php. Reporté par Dominik Schilling de l’équipe de sécurité WordPress.
  4. Cross-site request forgery (CSRF) bypass via l’upload de fichier Flash. Reporté par Abdullah Hussam.
  5. Cross-site scripting (XSS) via le fallback du nom du thème. Reporté par Mehmet Ince.
  6. Publication via le mail par défaut mail.example.com si les paramètres par défaut n’ont pas été modifiés. Reporté par John Blackbourn de l’équipe de sécurité WordPress.
  7. Cross-site request forgery (CSRF) au sein de l’édition live des widgets. Reporté par Ronnie Skansing.
  8. Faiblesse cryptographique au sein de l’implémentation de la clé d’activation en mode multisite. Réporté par Jack.

Si vous avez désactivé les mises à jours automatiques des versions dites mineures de WordPress, pensez à déployer au plus vite cette mise à jour de sécurité ! Pour ce faire, il suffit d’aller sur votre tableau de bord > Mises à jour > et de cliquer tout simplement sur “Mettre à jour maintenant”.

Une bonne façon de se débarrasser des failles de sécurité WordPress

Une bonne façon de se débarrasser des failles de #sécurité #WordPress Click To Tweet

OZON est une solution de cybersécurité polyvalente dédiée aux TPE et PME pour les sites e-commerce. C’est une solution capable d’évaluer votre site Web afin d’identifier les vulnérabilités et de protéger votre business en ligne contre les attaques Web comme les attaques DDoS , Cross-Site Scripting (XSS) et Cross-Site request forgery (CSRF). Après avoir évaluer votre site avec notre scanner, vous serez à même de patcher virtuellement les vulnérabilités découvertes. C’est le virtual patching et la magie d’OZON, de la sécurité en toute simplicité.

Pour rappel, en sécurité informatique, le Cross-Site Request Forgery, abrégé CSRF (parfois prononcé sea-surfing en anglais) ou XSRF, est un type de vulnérabilité des services d’authentification web. L’objet de cette attaque est de transmettre à un utilisateur authentifié une requête HTTP falsifiée qui pointe sur une action interne au site, afin qu’il l’exécute sans en avoir conscience et en utilisant ses propres droits. L’utilisateur devient donc complice d’une attaque sans même s’en rendre compte. L’attaque étant actionnée par l’utilisateur, un grand nombre de systèmes d’authentification sont contournés.

Par ailleurs, nous ne plaisantons pas quand nous présentons OZON comme une solution polyvalente. La solution détecte les vulnérabilités et protège votre site Web, tout en incluant un système anti fraude. Attendez-vous quelque chose d’autre d’une solution de sécurité ? Non ? Vous devriez car OZON offre aussi un certificat https à tous ses clients.

Vous pourriez également être intéressé par les deux de nos derniers articles sur WordPress souhaite imposer le HTTPS ou encore 25% des vulnérabilités WordPress due à 3 plugins.

Régis Rocroy
Passionné par les nouvelles technologies et leurs usages dès les premiers PC, j’interviens dans la sécurité des systèmes d’information depuis plus de 20 ans en tant que consultant et architecte sécurité.