Attention : Faille pour les Blogs WordPress !
Exclusif : Une faille permet d´exécuter une connexion vers un site tiers de manière simple et rapide. Une porte ouverte aux abus et tentatives d´hameçonnages.
Lemuria, lecteur de ZATAZ.COM, nous a informé d'une faille dans le système WordPress qui pourrait permettre à un pirate de rediriger les visiteurs vers des espaces pirates. Des pages pirates qui pourraient usurper le site ainsi piégé afin de diffuser, entre autres, codes malicieux ou fausse page d'identification.
Bref, un «zéro-day» parfait pour intercepter login et mot de passe. La vulnérabilité est située dans le fichier template.php. «La variable $author_url n'est pas bien sécurisée, indique Lemuria, Il est possible d'injecter du code quant on laisse un commentaire.» Nous vous proposons une démonstration, sans danger, via Stars-buzz.com. Il vous suffit de passer votre souris sur l'auteur du post dédié à Michael Jackson : Test 0day ZATAZ. Vous comprendrez alors l'intérêt de la correction de cette faille.
Attention, si les commentaires sont modérés avant leur affichage dans le site, l'administrateur pourrait être ainsi re-dirigé ver une page de phishing.
En attendant le correctif officiel, nous pouvons vous conseiller de remplacer, dans le fichier template.php (wp-adminincludes) :
echo «<a title='$author_url' href='$author_url'>$author_url_display</a><br />»;
par :
echo «<a title=«$author_url« href=«$author_url«>$author_url_display</a><br />»;
Picocolo, autre lecteur, nous fait savoir très justement que le correctif ne fonctionnera pas sans caractère d'échappement devant les guillemets du lien.
(Source : ZATAZ.COM)
2 commentaires
Pas de rétroliens
2 commentaires
il y a 3 mois et 10 jours
salut
je trouve que ton blog est super genial, continue sur cette voie. si tu cherches une robe noire ou des
chaussures élégantes, pense a passer chez soohie
Bye
il y a 3 mois et 8 jours
Merci
Très joli ton site, je garde l'adresse dans mes favoris.
Bonne journée.
David
Ecrire un commentaire
Si vous souhaitez ajouter votre commentaire sur cet article, il suffit de remplir le formulaire suivant:
* Champs obligatoires
Vous ne pouvez pas utiliser les tags XHTML: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>.
Pas de rétroliens
Pour notifier cet article sur votre blog, activez la notification automatique (Options > Discussion Wordpress) ou spécifiez l´url du rétrolien: http://www.marketing-underground.com/hacking/attention-faille-pour-les-blogs-wordpress/trackback/