Plusieurs vulnérabilités, dont la plupart ont été décrites comme des failles de script intersite (XSS), ont été corrigées dans WordPress cette semaine avec la sortie de la version 5.4.1.

WordPress 5.4.1, décrit comme une version de sécurité et de maintenance à cycle court, corrige 17 bogues et 7 vulnérabilités affectant la version 5.4 et les versions antérieures. Les développeurs de WordPress ont souligné que toutes les versions plus récentes que 3.7 ont également été mises à jour.

La société de sécurité WordPress Defiant a publié un article de blog décrivant chacune des vulnérabilités corrigées et aucune d’entre elles ne semble trop sérieuse ou facile à exploiter.

L’une des vulnérabilités est liée à l’incapacité à invalider correctement les jetons de réinitialisation de mot de passe. Plus précisément, les liens de réinitialisation de mot de passe envoyés par e-mail resteront valides si l’utilisateur modifie manuellement son mot de passe de son compte sans utiliser le lien. Cependant, pour exploiter cela, un attaquant aurait besoin d’accéder au compte de messagerie électronique de la victime et le lien de réinitialisation du mot de passe doit toujours être valide.

Une autre faille a permis à un attaquant non authentifié d’afficher des publications privées en effectuant des requêtes basées sur la date et l’heure. Cependant, ils devraient connaître l’heure exacte – jusqu’au deuxième – du poste protégé ciblé.

Les autres vulnérabilités ont été décrites comme des problèmes XSS affectant les composants Customizer, Search Block, Object Cache et file upload. Cependant, leur exploitation nécessite une authentification ou un accès au système ciblé, ce qui signifie qu’ils ne peuvent être utiles aux acteurs malveillants que lorsqu’ils sont combinés avec d’autres vulnérabilités ou attaques (par exemple, l’hameçonnage des informations d’identification d’un utilisateur).

Les développeurs de WordPress ont mentionné que l’éditeur de blocs était également affecté par une faille XSS qui aurait pu être exploitée par un attaquant authentifié. Cependant, ce problème a été identifié et résolu dans les versions candidates et n’a jamais été transformé en version stable.

Dans le cas des sites WordPress qui prennent en charge les mises à jour automatiques, ils devraient déjà être mis à jour vers la version 5.4.1. Les autres utilisateurs ont été invités à télécharger la dernière version à partir du …