La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9couverte par WordFence le 4 mars 2020 et a ensuite \u00e9t\u00e9 contact\u00e9e par les d\u00e9veloppeurs. La vuln\u00e9rabilit\u00e9 du plugin WordPress affecte les versions de Popup Builder inf\u00e9rieures \u00e0 la version 3.64.1.<\/p>\n
Les d\u00e9veloppeurs du plugin ont t\u00e9l\u00e9charg\u00e9 un fichier corrig\u00e9 une semaine plus tard, le 11 mars, lorsque le plugin mis \u00e0 jour \u00e9tait disponible au t\u00e9l\u00e9chargement.<\/p>\n
<\/span>Journal des modifications<\/span><\/h2>\nUn journal des modifications est une explication de ce qu'est une mise \u00e0 jour. Il est important qu'un journal des modifications soit descriptif afin que l'utilisateur du plugin puisse savoir que quelque chose est urgent.<\/p>\n
Malheureusement, certains d\u00e9veloppeurs de plugins WordPress ne mentionnent pas le probl\u00e8me de s\u00e9curit\u00e9 ou ne le d\u00e9crivent pas en termes vagues et g\u00e9n\u00e9riques.<\/p>\n
Le journal des modifications du plug-in Popup Builder indique qu'il existe une mise \u00e0 jour de s\u00e9curit\u00e9, mais ne mentionne pas la gravit\u00e9 ou l'importance de la mise \u00e0 jour. C'est vague, mais au moins ils r\u00e9v\u00e8lent que la mise \u00e0 jour r\u00e9sout un probl\u00e8me de s\u00e9curit\u00e9.<\/p>\n
La mise \u00e0 jour est d\u00e9crite comme \u00abcorrectifs de s\u00e9curit\u00e9\u00bb, qui signale techniquement qu'un probl\u00e8me de s\u00e9curit\u00e9 a \u00e9t\u00e9 r\u00e9solu, mais ne fournit pas le sentiment d'urgence n\u00e9cessaire \u00e0 une vuln\u00e9rabilit\u00e9 de cette gravit\u00e9.<\/p>\n
Voici une capture d'\u00e9cran du journal des modifications de Popup Builder:<\/p>\n
![\"capture](\"https:\/\/blogging-techies.com\/wp-content\/uploads\/2020\/03\/WordPress-Popup-Builder-contiene-serias-vulnerabilidades.png\")
<\/p>\n
<\/span>Quelles sont les vuln\u00e9rabilit\u00e9s?<\/span><\/h2>\nIl existe deux vuln\u00e9rabilit\u00e9s. La premi\u00e8re vuln\u00e9rabilit\u00e9 permet \u00e0 quelqu'un d'ins\u00e9rer du JavaScript nuisible dans une fen\u00eatre contextuelle.<\/p>\n
La deuxi\u00e8me vuln\u00e9rabilit\u00e9 permet \u00e0 l'attaquant de t\u00e9l\u00e9charger les listes d'abonn\u00e9s et d'acc\u00e9der \u00e0 de nombreuses fonctions de plugin.<\/p>\n
Cette vuln\u00e9rabilit\u00e9 affecte plus de 100 000 utilisateurs de plugins. Il est important que les \u00e9diteurs t\u00e9l\u00e9chargent et mettent \u00e0 jour leurs plugins.<\/p>\n
Selon le fabricant des plugins de s\u00e9curit\u00e9 Wordfence:<\/p>\n
"Les attaquants utilisent g\u00e9n\u00e9ralement une vuln\u00e9rabilit\u00e9 comme celle-ci pour rediriger les visiteurs du site vers des sites publicitaires malveillants ou pour voler des informations confidentielles \u00e0 partir de leur navigateur, m\u00eame si elles peuvent \u00e9galement \u00eatre utilis\u00e9es pour reprendre le site si un administrateur visite ou pr\u00e9visualise un page contenant une fen\u00eatre contextuelle infect\u00e9e pendant la connexion. "<\/p>\n
Il est tr\u00e8s important de mettre \u00e0 jour ce plugin. Sinon, vous pourriez inviter des pirates \u00e0 reprendre un site.<\/p>\n
Lisez l'annonce WordFence:<\/strong><\/p>\nVuln\u00e9rabilit\u00e9s corrig\u00e9es dans le plugin Popup Builder affectant plus de 100 000 sites<\/p>\n
<\/p>\nIl existe deux vuln\u00e9rabilit\u00e9s. La premi\u00e8re vuln\u00e9rabilit\u00e9 permet \u00e0 quelqu'un d'ins\u00e9rer du JavaScript nuisible dans une fen\u00eatre contextuelle.<\/p>\n
La deuxi\u00e8me vuln\u00e9rabilit\u00e9 permet \u00e0 l'attaquant de t\u00e9l\u00e9charger les listes d'abonn\u00e9s et d'acc\u00e9der \u00e0 de nombreuses fonctions de plugin.<\/p>\n
Cette vuln\u00e9rabilit\u00e9 affecte plus de 100 000 utilisateurs de plugins. Il est important que les \u00e9diteurs t\u00e9l\u00e9chargent et mettent \u00e0 jour leurs plugins.<\/p>\n
Selon le fabricant des plugins de s\u00e9curit\u00e9 Wordfence:<\/p>\n
"Les attaquants utilisent g\u00e9n\u00e9ralement une vuln\u00e9rabilit\u00e9 comme celle-ci pour rediriger les visiteurs du site vers des sites publicitaires malveillants ou pour voler des informations confidentielles \u00e0 partir de leur navigateur, m\u00eame si elles peuvent \u00e9galement \u00eatre utilis\u00e9es pour reprendre le site si un administrateur visite ou pr\u00e9visualise un page contenant une fen\u00eatre contextuelle infect\u00e9e pendant la connexion. "<\/p>\n
Il est tr\u00e8s important de mettre \u00e0 jour ce plugin. Sinon, vous pourriez inviter des pirates \u00e0 reprendre un site.<\/p>\n
Lisez l'annonce WordFence:<\/strong><\/p>\n Vuln\u00e9rabilit\u00e9s corrig\u00e9es dans le plugin Popup Builder affectant plus de 100 000 sites<\/p>\n