Rapport de vulnérabilité WordPress : mai 2021, partie 1
Publié: 2021-05-05Les plugins et thèmes vulnérables sont la principale raison pour laquelle les sites Web WordPress sont piratés. Ce rapport couvre les vulnérabilités récentes des plugins, thèmes et principaux WordPress et ce qu'il faut faire si vous exécutez l'un des plugins ou thèmes vulnérables sur votre site Web.
Chaque vulnérabilité aura un indice de gravité faible , moyen , élevé ou critique . La divulgation et le signalement responsables des vulnérabilités font partie intégrante de la sécurité de la communauté WordPress. Veuillez partager ce message avec vos amis pour aider à faire passer le mot et rendre WordPress plus sûr pour tout le monde.
Vulnérabilités principales de WordPress
WordPress 5.7.1 est sorti le 15 avril 2021. Cette version de sécurité et de maintenance comporte 26 correctifs de bogues en plus de deux correctifs de sécurité. Comme il s'agit d'une version de sécurité du noyau WordPress, il est recommandé de mettre à jour vos sites immédiatement.
Vulnérabilités du plugin WordPress
1. AcyMailing
Vulnérabilité : Open Redirect
Patché dans la version : 7.5.0
Gravité : Moyenne
2. Donnez WP
Vulnérabilité : Script intersites stocké authentifié
Patché dans la version : 2.10.4
Gravité : Moyenne
3. Gestionnaire de téléchargement
Vulnérabilité : Modification des paramètres du plugin via CSRF
Patché dans la version : 3.1.22
Gravité : Moyenne
Vulnérabilité : Utilisation non autorisée d'Asset Manager
Patché dans la version : 3.1.23
Gravité : Élevée
Vulnérabilité : Téléchargement de fichier PHP4 authentifié vers RCE
Patché dans la version : 3.1.19
Gravité : Critique
4. Protection antispam, AntiSpam, FireWall par CleanTalk
Vulnérabilité : Injection SQL aveugle non authentifiée
Patché dans la version : 5.153.4
Gravité : Élevée
5. Avis des clients WP
Vulnérabilité : Script intersites stocké authentifié
Patché dans la version : 3.5.6
Gravité : Moyenne
Vulnérabilités du thème WordPress
1. Aller à
Vulnérabilité : Injection SQL aveugle non authentifiée
Patché dans la version : 2.1
Gravité : Critique
Vulnérabilité : Reflected Cross-Site Scripting
Patché dans la version : 2.1
Gravité : Élevée
Une note sur la divulgation responsable
Vous vous demandez peut-être pourquoi une vulnérabilité serait divulguée si elle donne aux pirates un exploit à attaquer. Eh bien, il est très courant qu'un chercheur en sécurité trouve et signale en privé la vulnérabilité au développeur du logiciel.
Avec la divulgation responsable , le rapport initial du chercheur est remis en privé aux développeurs de la société propriétaire du logiciel, mais avec un accord selon lequel tous les détails seront publiés une fois qu'un correctif sera disponible. Pour les vulnérabilités de sécurité importantes, il peut y avoir un léger retard dans la divulgation de la vulnérabilité pour donner à plus de personnes le temps de corriger.
Le chercheur en sécurité peut fournir une date limite au développeur du logiciel pour répondre au rapport ou pour fournir un correctif. Si ce délai n'est pas respecté, le chercheur peut divulguer publiquement la vulnérabilité pour faire pression sur le développeur pour qu'il publie un correctif.
Divulguer publiquement une vulnérabilité et introduire apparemment une vulnérabilité Zero-Day - un type de vulnérabilité qui n'a pas de correctif et qui est exploitée à l'état sauvage - peut sembler contre-productif. Mais c'est le seul levier dont dispose un chercheur pour faire pression sur le développeur pour qu'il corrige la vulnérabilité.
Si un pirate informatique découvrait la vulnérabilité, il pourrait utiliser discrètement l'exploit et causer des dommages à l'utilisateur final (c'est vous), tandis que le développeur du logiciel reste satisfait de laisser la vulnérabilité non corrigée. Le Project Zero de Google a des directives similaires en ce qui concerne la divulgation des vulnérabilités. Ils publient tous les détails de la vulnérabilité après 90 jours, que la vulnérabilité ait été corrigée ou non.
Comment protéger votre site WordPress contre les plugins et thèmes vulnérables
Le scanner de site du plugin iThemes Security Pro est un autre moyen de sécuriser et de protéger votre site Web WordPress contre la principale cause de tous les piratages logiciels : les plugins obsolètes et les thèmes présentant des vulnérabilités connues. Le scanner de site recherche sur votre site les vulnérabilités connues et applique automatiquement un correctif s'il en existe un.
Les 3 types de vulnérabilités WordPress vérifiés
- Vulnérabilités WordPress
- Vulnérabilités des plugins
- Vulnérabilités du thème
Pour activer l'analyse du site sur les nouvelles installations, accédez aux paramètres d'iThemes Security Pro et cliquez sur le bouton Activer dans le module des paramètres de l' analyse du site .
Pour déclencher une analyse de site manuelle, cliquez sur le bouton Analyser maintenant sur le widget d'analyse de site situé dans la barre latérale droite des paramètres de sécurité.
Les résultats de l'analyse du site s'afficheront dans le widget.
Si l'analyse du site détecte une vulnérabilité, cliquez sur le lien de vulnérabilité pour afficher la page de détails.
Sur la page de vulnérabilité de l'analyse du site, vous verrez s'il existe un correctif disponible pour la vulnérabilité. Si un correctif est disponible, vous pouvez cliquer sur le bouton Mettre à jour le plug- in pour appliquer le correctif sur votre site Web.
Il peut y avoir un délai entre le moment où un correctif est disponible et la mise à jour de la base de données des vulnérabilités de sécurité iThemes pour refléter le correctif. Dans ce cas, vous pouvez désactiver la notification pour ne plus recevoir d'alertes liées à la vulnérabilité.
iThemes Security Pro, notre plugin de sécurité WordPress, offre plus de 50 façons de sécuriser et de protéger votre site Web contre les vulnérabilités de sécurité WordPress courantes. Avec WordPress, l'authentification à deux facteurs, la protection contre la force brute, l'application stricte des mots de passe et plus encore, vous pouvez ajouter une couche de sécurité supplémentaire à votre site Web.
Obtenez iThemes Security Pro
Chaque semaine, Michael rédige le rapport de vulnérabilité WordPress pour vous aider à protéger vos sites. En tant que chef de produit chez iThemes, il nous aide à continuer à améliorer la gamme de produits iThemes. C'est un nerd géant et il adore apprendre tout ce qui touche à la technologie, ancienne et nouvelle. Vous pouvez trouver Michael traîner avec sa femme et sa fille, lire ou écouter de la musique lorsqu'il ne travaille pas.
