WordPress : Des centaines de plugins affectés par une faille de sécurité

On a découvert une dizaine de plugins WordPress qui sont concerné par une faille de niveau élevé, mais des centaines de plugins pourraient être concernés.

Une dizaine de plugins WordPress ont été mis à jour pour corriger des failles de sécurité qui aurait pu permettre à des pirates de lancer des commandes dans les navigateurs des utilisateurs qui visitent des sites WordPress. On recommande aux webmestres de mettre à jour les plugins WordPress et la dernière version de WordPress. WordPress 4.1.2 concerne précisément de nombreuses failles de sécurité.

La faille de type XSS permet aux pirates d’utiliser des URL spéciales qui peuvent injecter du code sur le coté client dans les pages compromises. Cette faille peut extraire les cookies d’authentification ce qui peut donner un accès à des comptes sans fournir de mots de passe. De plus, une attaque de type XSS peut aussi changer le contenu d’une page et c’est l’une des plus fréquentes avec les injections SQL.

Ces derniers jours, plus d’une dizaines de plugins WordPress ont été mis à jour. Selon la firme Sucuri, ces plugins sont :

• Jetpack
• WordPress SEO
• Google Analytics par Yoast
• All In one SEO
• Gravity Forms
• De nombreux plugins d’Easy Digital Downloads
• UpdraftPlus
• WP-E-Commerce
• WPTouch
• Download Monitor
• Related Posts for WordPress
• My Calendar
• P3 Profiler
• Give
• De nombreux produits d’iThemes incluant Builder et Exchange
• Broken-Link-Checker
• Ninja Forms

Les failles proviennent du fait que les développeurs ont mal utilisés des fonctions de développement qui modifient ou ajoutent des requêtes de caractère aux URL, notamment les fonctions add_query_arg() et remove_query_arg(). De nombreux développeurs pensent que ces fonctions permettent de sécuriser l’entrée de l’utilisateur, mais ce n’est pas le cas. Pour que ces fonctions soient vraiment efficaces, elles doivent être suivi des fonctions esc_url() ou esc_url_raw().

Les plugins listés ci-dessus ont proposés une mise à jour coordonée le même jour. Mais Sucuri a annoncé que près de 300 plugins pourraient être aussi concerné par cette faille. Si vous utilisez un des plugins WordPress dans la liste, vous devez mettre à jour immédiatement vers la dernière version. Mais ce ne sera pas suffisant, car il faudra vérifier régulièrement les nouvelles mises à jour d’autres plugins qui pourraient être concerné par cette faille.

---

Mes livres

Le Basilic de Roko	Mon parcours de rédacteur web	Science corrompue et servile	Nous, Tueurs en série