Si vous êtes l’un des quelques 3 millions d’utilisateurs du plugin WP eCommerce, mettez le à jour dès que possible pour corriger une faille de sécurité découverte par Sucuri.
Selon l’annonce, la vulnérabilité pourrait être utilisée par un utilisateur malveillant afin d’obtenir facilement l’accès au site et modifier des informations privées du site. Tout site Web utilisant la version 3.8.14.3 du plugin WP eCommerce ou une version inférieure est à risque.
Faille de sécurité dans WP eCommerce
Un utilisateur malveillant pourrait utiliser la faille pour exporter les noms d’utilisateurs, adresses emails et d’autres informations privées. Il permet également à un attaquant de modifier les commandes, par exemple passer une commande de « non-payé » à « payé ». La vulnérabilité est similaire à celle subit par MailPoet plus tôt cette année .
Les développeurs du plugin supposent que la fonction « admin_init » n’a été appelée lors de la connexion de l’administrateur et a permis l’accès à « / wp-admin/ » . Cependant, tout appel à « /wp-admin/admin-post.php » (ou admin-Ajax) exécute aussi cette fonction sans que l’utilisateur ai besoin d’être authentifié.
Sucuri a découvert la faille au cours d’une vérification de routine de son service de pare-feu. Après avoir été divulguée aux développeurs du plugin plus tôt cette semaine, l’équipe de développement a rapidement corrigé la faille et a publié une mise à jour. Sucuri précise que les détails de la vulnérabilité ne seront pas publié tant que les utilisateurs n’auront pas eu le temps de mettre à jour leurs sites.
Partagez l’information autour de vous, la sécurité nous concerne tous, Merci!
Publié à l'origine le : 31 octobre 2014 @ 11 h 01 min
