Marketing

Les vulnérabilités principales de WordPress touchent des millions de sites

wordpress vulnerabilities 61d815ca1b51d sej

WordPress a annoncé avoir corrigé quatre vulnérabilités classées jusqu’à 8 sur une échelle de 1 à 10. Les vulnérabilités se trouvent dans le noyau de WordPress lui-même et sont dues à des failles introduites par l’équipe de développement de WordPress elle-même.

Quatre vulnérabilités WordPress

L’annonce de WordPress manquait de détails sur la gravité des vulnérabilités et les détails étaient rares.

Cependant, la base de données nationale sur les vulnérabilités du gouvernement des États-Unis, où les vulnérabilités sont enregistrées et rendues publiques, a évalué les vulnérabilités jusqu’à 8,0 sur une échelle de 1 à 10, dix représentant le niveau de danger le plus élevé.

Les quatre vulnérabilités sont :

  1. Injection SQL en raison d’un manque de désinfection des données dans WP_Meta_Query (niveau de gravité élevé, 7,4)
  2. Injection d’objets authentifiés dans les multisites (niveau de gravité noté moyen 6,6)
  3. Stocké Cross Site Scripting (XSS) via des utilisateurs authentifiés (niveau de gravité élevé, 8,0)
  4. Injection SQL via WP_Query en raison d’une désinfection incorrecte (niveau de gravité élevé, 8,0)

Publicité

Continuer la lecture ci-dessous

Trois des quatre vulnérabilités ont été découvertes par des chercheurs en sécurité en dehors de WordPress. WordPress n’en avait aucune idée jusqu’à ce qu’ils en soient informés.

Les vulnérabilités ont été divulguées en privé à WordPress, ce qui a permis à WordPress de résoudre les problèmes avant qu’ils ne soient largement connus.

Le développement de WordPress précipité d’une manière dangereuse ?

Le développement de WordPress a ralenti en 2021 car ils n’ont pas pu terminer le travail sur la dernière version, 5.9, qui a vu cette version de WordPress repoussée à plus tard en 2022.

Il a été question au sein de WordPress de réduire le développement. Les développeurs principaux de WordPress ont eux-mêmes sonné l’alarme sur le rythme du développement, plaidant pour plus de temps.

Publicité

Continuer la lecture ci-dessous

L’un des développeurs averti:

“Dans l’ensemble, il semble qu’en ce moment nous précipitons les choses d’une manière dangereuse.”

Étant donné que WordPress ne peut pas respecter son propre calendrier de publication et discute de la réduction de son calendrier de publication 2022 de quatre à trois, il faut s’interroger sur le rythme de développement de WordPress et s’il faut faire plus d’efforts pour s’assurer que les vulnérabilités ne sont pas publiées par inadvertance. le public.

Problèmes de désinfection des données dans WordPress

La désinfection des données est un moyen de contrôler le type d’informations qui transitent par les entrées et dans la base de données. La base de données contient les informations sur le site, y compris les mots de passe, les noms d’utilisateur, les informations sur l’utilisateur, le contenu et d’autres informations nécessaires au fonctionnement du site.

Documentation WordPress décrit la désinfection des données :

« La désinfection est le processus de nettoyage ou de filtrage de vos données d’entrée. Que les données proviennent d’un utilisateur, d’une API ou d’un service Web, vous utilisez la désinfection lorsque vous ne savez pas à quoi vous attendre ou que vous ne voulez pas être strict avec la validation des données.

La documentation indique que WordPress est censé inclure des fonctions d’assistance intégrées pour se protéger contre les entrées malveillantes et que l’utilisation de ces fonctions d’assistance nécessite un effort minimal.

Selon la propre documentation de WordPress, ces vulnérabilités sont anticipées, il est donc surprenant qu’elles apparaissent au cœur même de WordPress.

Publicité

Continuer la lecture ci-dessous

Il y avait deux vulnérabilités de haut niveau liées à une désinfection incorrecte :

  • WordPress : injection SQL en raison d’une désinfection incorrecte dans WP_Meta_Query
    En raison du manque d’assainissement approprié dans WP_Meta_Query, il existe un potentiel d’injection SQL aveugle
  • WordPress : Injection SQL via WP_Query
    En raison d’une désinfection incorrecte dans WP_Query, il peut y avoir des cas où l’injection SQL est possible via des plugins ou des thèmes qui l’utilisent d’une certaine manière.

Les autres vulnérabilités sont :

  • WordPress : Injection d’objets authentifiés dans les multisites
    Sur un multisite, les utilisateurs avec le rôle de super administrateur peuvent contourner le durcissement explicite/supplémentaire sous certaines conditions via l’injection d’objets.
  • WordPress : XSS stocké via des utilisateurs authentifiés
    Les utilisateurs authentifiés à faibles privilèges (comme l’auteur) dans le noyau WordPress sont capables d’exécuter JavaScript/d’effectuer une attaque XSS stockée, ce qui peut affecter les utilisateurs à privilèges élevés.

WordPress recommande la mise à jour immédiate

Étant donné que les vulnérabilités sont désormais ouvertes, il est important que les utilisateurs de WordPress s’assurent que leur installation WordPress est mise à jour vers la dernière version, actuellement 5.8.3.

Publicité

Continuer la lecture ci-dessous

WordPress a conseillé de mettre à jour l’installation immédiatement.

Citations

Lire l’avis officiel de WordPress

Version de sécurité de WordPress 5.8.3

Rapports de la base de données nationale sur les vulnérabilités

Injection d’objets authentifiés dans les multisites

XSS stocké via des utilisateurs authentifiés

Désinfection incorrecte dans WP_Query

Injection SQL en raison d’une désinfection incorrecte dans WP_Meta_Query