Alerte de Sécurité WordPress – 02 Octobre 2014

Une fois encore la semaine est marquée par des failles de sécurité. Neuf plugin et un thème (Refraction) posent problèmes aujourd’hui. Les types de failles de sécurité sont très souvent les mêmes, mais ce n’est par pour autant que le problème est à aprendre à la légère.

Alerte de Sécurité WordPress – 02 Octobre 2014

Plus les jours passent et plus la sécurité des sites WordPress est mise à l’épreuve. Il devient difficile de protéger votre site WordPress, faites en sorte de tenir compte des avertissements dont nous vous faisons part, afin de palier à tout problème de sécurité prévisible.

Liste des éléments présentant une faille de sécurité

• WordPress Login Widget With Shortcode : Cross Site Request Forgery

[alert-note]Les attaques de type cross-site request forgery (abrégées CSRF prononcées sea-surfing ou parfois XSRF) utilisent l’utilisateur comme déclencheur, celui-ci devient complice sans en être conscient. L’attaque étant actionnée par l’utilisateur, un grand nombre de systèmes d’authentification sont contournés.[/alert-note]

• WordPress Wordfence : Cross Site Scripting

[alert-note]Le cross-site scripting (abrégé XSS), est un type de faille des sites web permettant d’injecter du contenu dans une page, et ainsi provoquer des actions sur les navigateurs web visitant la page[/alert-note]

• WordPress WP Photo Album Plus : Cross Site Scripting

• WordPress All In One Security And Firewall 3.8.3 : Cross Site Scripting

• WordPress Content Audit 1.6 Blind SQL Injection

[alert-note]Un attaquant avec le rôle d’administrateur peut insérer du code qui sera exécuté quotidiennement via wp-cron job.[/alert-note]

• WordPress Photo Gallery 1.1.30 : Cross Site Scripting

• WordPress Refraction Theme : Multiple Vulnerabilités

1. Cross-Site Scripting
2. Content Spoofing : L’ injection de contenu est une attaque rendue possible par une vulnérabilité d’injection dans une application Web .Lorsqu’une application ne gère pas correctement les données fournies par l’utilisateur, un attaquant peut fournir du contenu à une application Web, généralement via une valeur de paramètre, qui est renvoyée à l’utilisateur.
3. Divulgation du chemin d’accès complet du thème : Il est exécuté par injection des caractères inattendus dans certains paramètres d’un page web. Ne prévoyant pas le caractère injecté et le thème renvoie un message d’erreur contenant les informations de l’erreur, ainsi que le chemin de travail ciblée.

• WP Google Maps WordPress plugin – Multiple Cross-Site Scripting (XSS)

• Contact Form DB WordPress plugin – Cross Site Scripting

• WordPress Login Widget With Shortcode : Cross Site Request Forgery

---

La sécurité de votre site WordPress est compromise dès lors que vous ne tenez pas compte des avertissements donnés. Si dans la liste ci-dessus, vous repérez un plugin que vous utilisez, il vaut mieux le désinstaller avant qu’il ne soit trop tard.

Aucune faille de sécurité n’est bénigne, et malgré le suivi que vous apportez à vos sites WordPress, votre site est à risque si vous ne prenez pas les mesures appropriées.

Ne pensez pas que cela n’arrive qu’aux autres, tous les sites WordPress sont concernés par les failles de sécurité!

Conseils pour sécuriser votre site

• Ne pas utiliser “admin” comme identifiant administrateur
• Faites attention à ce que vous téléchargez
• Mettez à jour WordPress
• Mettez à jour vos thèmes et plugin
• Utilisez un mot de passe fort
• Limitez le nombre de tentatives de connexion avec Limit Login Attempts
• Faites des sauvegardes régulières de la totalité de votre site avec BackupBuddy
• Utilisez au moins un plugin de sécurisation tel que iThemes Security

Rappel de Sécurité

Une sauvegarde régulière de la totalité de votre site WordPress (base de données, thèmes, et plugin) est nécessaire afin de palier à tout problème.

---

Partagez les informations concernant la sécurité, nous sommes concernés!

Publié à l'origine le : 2 octobre 2014 @ 14 h 58 min