{"id":34298,"date":"2020-07-18T02:03:27","date_gmt":"2020-07-18T02:03:27","guid":{"rendered":"https:\/\/blogging-techies.com\/fr\/vulnerabilite-du-plugin-wordpress-ninja-forms\/"},"modified":"2020-07-18T02:03:27","modified_gmt":"2020-07-18T02:03:27","slug":"vulnerabilite-du-plugin-wordpress-ninja-forms","status":"publish","type":"post","link":"https:\/\/blogging-techies.com\/fr\/vulnerabilite-du-plugin-wordpress-ninja-forms\/","title":{"rendered":"Vuln\u00e9rabilit\u00e9 du plugin WordPress Ninja Forms"},"content":{"rendered":"

Plugin de formulaires WordPress populaire Ninja Form a r\u00e9cemment mis \u00e0 jour son plugin pour corriger une vuln\u00e9rabilit\u00e9 grave. La vuln\u00e9rabilit\u00e9 est class\u00e9e comme tr\u00e8s grave car elle pourrait permettre \u00e0 un attaquant de voler l’acc\u00e8s au niveau administrateur et de prendre le contr\u00f4le de l’ensemble du site.<\/p>\n

<\/span>Vuln\u00e9rabilit\u00e9 d’usurpation de requ\u00eate intersite<\/span><\/h2>\n

L’exploit \u00e0 l’origine de ce probl\u00e8me est appel\u00e9 falsification de requ\u00eate intersite. Ce type de vuln\u00e9rabilit\u00e9 exploite l’absence d’un contr\u00f4le de s\u00e9curit\u00e9 normal qui permet \u00e0 un attaquant de t\u00e9l\u00e9charger ou de remplacer des fichiers, et m\u00eame d’obtenir un acc\u00e8s administratif.<\/p>\n

D\u00e9couvrez comment le site Web Common Weakness Enumeration d\u00e9crit ce type de vuln\u00e9rabilit\u00e9:<\/p>\n

\u00abL’application Web ne v\u00e9rifie pas ou ne peut pas suffisamment v\u00e9rifier que l’utilisateur qui a soumis la demande a intentionnellement fourni une demande valide, coh\u00e9rente et bien form\u00e9e.<\/p>\n

\u2026 Il est possible pour un attaquant de tromper un client afin qu’il fasse une demande involontaire au serveur Web, qui sera trait\u00e9e comme une v\u00e9ritable demande. \u2026 Et peut conduire \u00e0 une exposition des donn\u00e9es ou \u00e0 une ex\u00e9cution involontaire de code. \u00bb<\/p>\n

<\/span>Ninja forme une vuln\u00e9rabilit\u00e9 de gravit\u00e9 \u00e9lev\u00e9e<\/span><\/h2>\n

WordFence WordPress Security a d\u00e9couvert l’exploit et a imm\u00e9diatement inform\u00e9 les \u00e9diteurs du plugin WordPress Ninja Forms. Ninja Forms a imm\u00e9diatement corrig\u00e9 la vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 dans les 24 heures.<\/p>\n

Selon WordFence, la vuln\u00e9rabilit\u00e9 \u00e9tait contenue dans un mode “h\u00e9rit\u00e9” qui contr\u00f4lait les fonctionnalit\u00e9s de style qui revenaient \u00e0 une version pr\u00e9c\u00e9dente. Cette partie du code a \u00e9t\u00e9 affect\u00e9e.<\/p>\n

Voici comment WordFence le d\u00e9crit:<\/strong><\/p>\n

\u00abBien que toutes ces fonctionnalit\u00e9s aient utilis\u00e9 des v\u00e9rifications de capacit\u00e9, deux d’entre elles n’ont pas pu v\u00e9rifier les nonces, qui sont utilis\u00e9s pour v\u00e9rifier qu’une demande a \u00e9t\u00e9 intentionnellement soumise par un utilisateur l\u00e9gitime.<\/p>\n

\u2026 Un script malveillant ex\u00e9cut\u00e9 dans le navigateur d’un administrateur peut \u00eatre utilis\u00e9 pour ajouter de nouveaux comptes administratifs, ce qui conduirait \u00e0 l’acquisition compl\u00e8te du site, tandis qu’un script malveillant ex\u00e9cut\u00e9 dans le navigateur d’un visiteur peut \u00eatre utilis\u00e9 pour rediriger ce visiteur. \u00e0 un site Web malveillant “<\/p>\n

\"Capture<\/p>\n

<\/span>Journal des modifications de Ninja Forms<\/span><\/h2>\n

Les \u00e9diteurs du plugin Ninja Forms ont mis \u00e0 jour le plugin de mani\u00e8re responsable en temps opportun. Ils ont \u00e9galement r\u00e9fl\u00e9chi honn\u00eatement \u00e0 ce que la mise \u00e0 jour \u00e9tait dans leur journal des modifications.<\/p>\n

Un journal des modifications est une explication de ce qui a chang\u00e9 dans une mise \u00e0 jour logicielle. Certains fabricants de plugins essaient de cacher le sujet de la mise \u00e0 jour sans mentionner de vuln\u00e9rabilit\u00e9s.<\/p>\n

Ninja Forms a honn\u00eatement rapport\u00e9 le sujet de la mise \u00e0 jour. Ceci est tr\u00e8s important pour les \u00e9diteurs car il les avertit si quelque chose doit \u00eatre mis \u00e0 jour imm\u00e9diatement ou si on peut s’y attendre.<\/p>\n

Cela montre que Ninja Forms est un \u00e9diteur de plugins WordPress fiable et responsable.<\/p>\n

<\/span>Mettre \u00e0 jour les formulaires Ninja maintenant<\/span><\/h2>\n

Tous les \u00e9diteurs utilisant Ninja Forms doivent imm\u00e9diatement mettre \u00e0 jour leur plug-in Ninja Forms. Ninja Forms Version 3.4.24.2 est la derni\u00e8re version. Si vous avez une ancienne version, veuillez mettre \u00e0 jour votre plugin pour \u00e9viter cette grave vuln\u00e9rabilit\u00e9.<\/p>\n

Lisez le rapport WordFence sur la vuln\u00e9rabilit\u00e9 ici:<\/p>\n

Vuln\u00e9rabilit\u00e9 de gravit\u00e9 \u00e9lev\u00e9e corrig\u00e9e dans les formulaires Ninja<\/p>\n

<\/span>Plus de fonctionnalit\u00e9s<\/span><\/h3>\n
\n
\n

Table of Contents<\/p>\nToggle<\/span><\/path><\/svg><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n