Comme chaque semaine, le CERT-XMCO vous partage une information ayant fait l’actualité durant la semaine écoulée. Nous vous proposons cette semaine de revenir sur la publication d’une nouvelle version du CMS WordPress.
Description :
Huit vulnérabilités non référencées ont été corrigées au sein du CMS WordPress. Leur exploitation permettait à un attaquant de provoquer un déni de service, voler des informations, manipuler des données, ainsi que de contourner des restrictions de sécurités.
Une faille de sécurité provenait d’une erreur non spécifiée et pouvait permettre un contournement de redirection.
Une vulnérabilité était due à une erreur de gestion des entrées utilisateur dans les noms de pièces jointes. En incitant sa victime à suivre un lien spécialement conçu, un pirate pouvait forcer le navigateur de cette dernière à exécuter un code JavaScript malveillant. L’exploitation de cette vulnérabilité permettait de mener différentes attaques : vol du cookie de session, modification de l’apparence du site web ciblé dans le contexte du navigateur, ou encore la redirection de l’utilisateur vers un site malveillant (par exemple pour mener une attaque de type phishing en affichant un faux formulaire afin de voler les identifiants et mots de passe).
Une faille de sécurité provenait d’une erreur non spécifiée. Son exploitation permettait à un attaquant de voler des informations sur l’historique des mises à jour effectuées.
Une vulnérabilité provenait d’une erreur liée à la gestion de oEmbed. Son exploitation permettait à un attaquant de provoquer un déni de service.
Une faille de sécurité était due à une erreur dans la gestion des autorisations. Son exploitation permettait à un attaquant de supprimer la catégorie d’un article.
Une vulnérabilité non spécifiée permettait à un attaquant de changer le mot de passe via un cookie volé.
Enfin, la dernière faille de sécurité provenait de cas non prévus dans la fonction sanitize_file_name. L’impact de son exploitation n’a pas été précisé.
Vulnérables :
- WordPress <= 4.5.2
Recommandation :
Le CERT-XMCO recommande de mettre à jour WordPress à la version 4.5.3 à l’adresse https://wordpress.org/download/.
Référence :
Référence CERT-XMCO :
CXN-2016-2035
Découvrir d'autres articles
-
Cyber Threat IntelligenceRetour sur les opérations hacktivistes ciblant la France en marge du conflit israélo-palestinien
Lire l'article -
Actualités et veille en cybersécuritéExploitation d’une vulnérabilité dans WinRAR lors de campagnes de phishing
Lire l'article -
Actualités et veille en cybersécurité10 erreurs de configuration réseau à ne pas commettre selon la NSA et le CISA
Lire l'article