Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Une vulnérabilité critique dans un plugin WordPress met 200 000 sites Web en danger
Car à tout moment ils peuvent être effacés ou détourner à distance par un attaquant

Le , par Christian Olivier

21PARTAGES

6  0 
Un rapport récent émanant de la société de sécurité WordPress WebARX indique que les anciennes versions de ThemeGrill Demo Importer (un plugin livré avec des thèmes vendus par ThemeGrill, une entreprise de développement Web qui commercialise des thèmes WordPress) sont vulnérables aux attaques à distance conduites par des attaquants non authentifiés.

En temps normal, ce plugin qui est installé sur plus de 200 ;000 sites Web permet à ses propriétaires d’importer du contenu de démonstration dans leurs thèmes ThemeGrill afin d’avoir des exemples et des repères à partir desquels ils peuvent construire leurs propres sites. À cause de cette vulnérabilité, un pirate peut cibler des sites Web bien particuliers et déclencher un comportement inattendu de ces derniers par l’intermédiaire d’un plugin.


Dans les faits, elle permet au pirate de remettre le contenu du site à zéro, effaçant ainsi efficacement le contenu de tous les sites WordPress où un thème ThemeGrill est actif, et où le plugin vulnérable est installé. De ce fait, il est recommandé aux propriétaires de sites WordPress utilisant des thèmes commerciaux fournis par ThemeGrill de mettre à jour le plugin défaillant qui est installé avec ces thèmes afin de corriger ce bogue critique. Notez que cette vulnérabilité peut également permettre à l’attaquant de s’emparer des droits d’administrateur des sites Web ciblés. En effet, si la base de données du site contient un utilisateur nommé « ;admin ;», l’attaquant se voit alors accorder l’accès à cet utilisateur avec tous les droits d’administrateur sur le site.

WebARX précise que la vulnérabilité affecte toutes les versions du plugin ThemeGrill Demo Importer entre la version 1.3.4 et 1.6.1. Une version plus récente sortie le weekend dernier (la version 1.6.2) du plugin intègre déjà un correctif pour ce bogue.

Il s’agit du deuxième bogue d’un plugin WordPress révélé cette année qui peut permettre à des attaquants d’effacer des bases de données de sites. Le mois dernier, l’équipe de Wordfence a révélé un problème similaire dans le plugin WP Database Reset, installé sur plus de 80 ;000 sites Web. En parallèle, des chercheurs ont découvert des failles critiques dans trois plugins WordPress utilisés sur plus de 400 000 sites Web permettant d'accéder à un compte administrateur, mais heureusement des correctifs sont déjà disponibles.

Source : WebARX

Et vous ?

Qu’en pensez-vous ?

Voir aussi

WordPress est désormais utilisé sur plus de 30 % des sites web, le champion des CMS creuse encore l'écart avec la concurrence
WordPress : le nombre de vulnérabilités a triplé en 2018, une étude pointe du doigt les plugins comme la principale source des failles du CMS
Des milliers de sites WordPress infectés redirigent les visiteurs vers des pages d'escroquerie au faux support technique
Des chercheurs découvrent des failles critiques dans trois plugins WordPress utilisés sur plus de 400 000 sites Web permettant d'accéder à un compte administrateur, des correctifs sont disponibles

Une erreur dans cette actualité ? Signalez-le nous !