Planification SEM pour 2024 : parce que 2023 ne vous a pas préparé
Préparez-vous pour 2024 avec un plan SEM solide. Apprenez à surmonter les défis et à optimiser vos efforts de marketing de recherche pour des résultats optimaux.
La vulnérabilité du plugin WordPress LiteSpeed affecte 4 millions de sites Web
23 octobre 2023
Le populaire plugin WordPress LiteSpeed a corrigé une vulnérabilité qui compromettait plus de 4 millions de sites Web, permettant aux pirates de télécharger des scripts malveillants.
LiteSpeed a été informé de la vulnérabilité il y a deux mois, le 14 août, et a publié un correctif en octobre.
Vulnérabilité de script intersite (XSS)
Wordfence a découvert une vulnérabilité Cross-Site Scripting (XSS) dans le plugin LiteSpeed, le plugin de mise en cache WordPress le plus populaire au monde.
Les vulnérabilités XSS sont généralement du type qui profite de l'absence d'un processus de sécurité appelé nettoyage et échappement des données.
La désinfection est une technique qui filtre quels types de fichiers peuvent être téléchargés via une entrée légitime, comme sur un formulaire de contact.
Dans la vulnérabilité spécifique LiteSpeed, la mise en œuvre d'une fonctionnalité de shortcode a permis à un pirate informatique malveillant de télécharger des scripts qu'il ne pourrait autrement pas utiliser si les protocoles de sécurité appropriés de désinfection/fuite de données avaient été en place.
La page du développeur WordPress décrit la pratique de sécurité de la désinfection :
« Les données non fiables proviennent de nombreuses sources (utilisateurs, sites tiers, même votre propre base de données !) et doivent toutes être vérifiées avant d'être utilisées.
… La désinfection des entrées est le processus de sécurisation/nettoyage/filtrage des données d’entrée.
Une autre page de développeur WordPress décrit le processus recommandé pour échapper des données comme ceci :
« L'échappement de la sortie est le processus de sécurisation des données de sortie en supprimant les données indésirables, comme les balises HTML ou de script mal formées.
Ce processus permet de sécuriser vos données avant de les restituer à l'utilisateur final.
Cette vulnérabilité spécifique nécessite que le pirate informatique obtienne d'abord des autorisations de niveau contributeur afin de mener l'attaque, ce qui rend la réalisation de l'attaque plus compliquée que d'autres types de menaces non authentifiées (ne nécessitant aucun niveau d'autorisation).
Selon Wordfence :
« Cela permet aux acteurs malveillants de mener des attaques XSS stockées. Une fois qu'un script est injecté dans une page ou une publication, il s'exécutera chaque fois qu'un utilisateur accède à la page concernée.
Bien que cette vulnérabilité nécessite qu'un compte de contributeur de confiance soit compromis ou qu'un utilisateur puisse s'inscrire en tant que contributeur, les acteurs malveillants qui réussissent pourraient voler des informations sensibles, manipuler le contenu du site, injecter des utilisateurs administratifs, modifier des fichiers ou rediriger les utilisateurs vers des sites Web malveillants qui sont toutes des conséquences graves.
Quelles versions du plugin LiteSpeed sont vulnérables ?
Les versions 5.6 ou inférieures du plugin LiteSpeed Cache sont vulnérables à l'attaque XSS.
Les utilisateurs de LiteSpeed Cache sont encouragés à mettre à jour leur plugin dès que possible vers la dernière version, la 5.7, publiée le 10 octobre 2023.
Lisez le bulletin Wordfence sur la vulnérabilité LiteSpeed XSS :
Image en vedette par Shutterstock/Asier Romero
Ces articles pourraient vous intéresser...
Google répond aux critiques concernant les forums en tête des résultats de recherche
Le carrousel du forum de Google suscite un débat, soulevant des inquiétudes concernant la désinformation et incitant l'entreprise à réagir.
Mise à jour de YouTube Analytics : impressions des spectateurs nouveaux et connus
YouTube introduit de nouvelles informations sur les impressions, permettant aux chaînes de voir une répartition des téléspectateurs nouveaux et connus.