WordPress : découverte d'une faille

PsychoGun, un informaticien français, a découvert une nouvelle vulnérabilité dans Wordpress, un blog populaire écrit en PHP.

Cette vulnérabilité de type Xss permet de prendre possession du serveur et de la base de données.

Wordpress permet aux utilisateurs et au propriétaire de poster des commentaires à la suite d’articles que des rédacteurs produisent. Or, l’administrateur du blog peut mettre du code javascript dans ses commentaires ainsi que quand ses articles; le problème se pose dans le fait que l’application ne vérifie pas convenablement la provenance de certaines données qui lui sont envoyées. Ainsi il est facile de faire poster au webmaster un commentaire comportant du javascript en l’invitant à visiter une page web comportant du code malveillant.

Seul l’administrateur du blog peut placer du code javascript dans ses commentaires mais le problème vient du fait que les données envoyées aux blog ne sont pas correctement vérifiées. Ainsi en incitant l’administrateur à cliquer sur un lien malveillant il est possible de lui faire poster, sans qu’il ne se rende compte de rien, un commentaire contenant du code javascript.

Les versions affectées par cette faille sont : 2.1.3 et versions antérieures / 2.0.10 et versions antérieures / 2.2 et versions antérieures. Évidemment, la prudence est de mise : ne surfez pas sur d'autres sites au sujet desquels vous n'êtes pas sûrs qu'ils sont dignes de confiance lorsque vous êtes connectés sur votre compte admin.

Source : Ar3av | Zataz