En fin de semaine dernière, des millions de sites WordPress utilisant le plugin UpdraftPlus ont reçu de force une mise à jour afin de corriger une vulnérabilité critique qui pouvait permettre à n'importe quel utilisateur enregistré de récupérer, entre autres, les base de données.
La vulnérabilité a pu être rapidement corrigée grâce à l'intervention d'un analyste en sécurité qui opérait alors un audit sur ledit plugin.
Une vulnérabilité dangereuse et facile à exploiter
Avec ses plus de trois millions d'installations actives, UpdraftPlus est un des plugins ayant le plus de succès pour les sites sur WordPress. Il permet très simplement d'organiser et de planifier des sauvegardes et des restaurations des sites qui l'utilisent. La semaine dernière, l'analyste en sécurité Marc Montpas, alors qu'il opérait un audit sur le plugin, s'est aperçu d'une grave vulnérabilité entraînée par un bug. Il a immédiatement contacté l'équipe de développement.
Pour résumer, la vulnérabilité permettait à n'importe quel utilisateur ayant un compte enregistré sur un site utilisant UpdraftPlus d'envoyer, côté serveur, une requête spécifique dupant la vérification de celle-ci et donnant alors l'accès à l'utilisateur au dossier options-general.php, accessible en temps normal aux seuls administrateurs.
Avec cette manipulation, il était possible de récupérer des versions précédentes de n'importe quel site ou leur base de données, et ainsi d'obtenir nombre d'informations sensibles comme les identifiants, les adresses mail ou les adresses IP. Au total, en une semaine, ce sont près de trois millions de sites qui ont obtenu la mise à jour de correction, de force ou à la main par les administrateurs.
Source : Ars Technica
Envie de créer un site web, à titre personnel ou professionnel ? Le gestionnaire de contenu (ou CMS) est devenu incontournable. Il existe des centaines de CMS sur le marché : gratuits, open source, payants, hébergés… Un vrai casse-tête pour les distinguer. Voici notre sélection des meilleurs CMS pour créer son site facilement !
Lire la suite
Grand adepte du travail des petites mains qui nous construisent des mondes fantastiques. Ma passion va du jeu vidéo indépendant au pan pan boum boum avec au milieu les avancées techniques de notre monde.
Lire d'autres articles
