La version de sécurité WordPress 6.0.3 est disponible sur nos hébergement web

Selon Charles Darwin « Ce n’est pas la plus forte des espèces ni la plus intelligente qui survit. C’est celle qui s’adapte le mieux au changement ».

Dans le cadre des évolutions stratosphériques que connait bon nombre de secteur, et principalement le technologique, nous nous voyons forcer de maintenir la cadence afin de répondre au mieux aux desiderata de nos clients. C’est ainsi que nous sommes constamment en quête de nouveautés et d’améliorations, en l’occurrence celles relatives aux infrastructures de nos serveurs intégrant des solutions toujours plus avancées.

La construction d’un site web requière néanmoins de la simplicité pour accompagner tout type d’utilisateur. C’est dans ce sens que tous les hébergements Zenhosting sont optimisés pour WordPress, le CMS le plus utilisé au monde.

Bien que reporté à maintes reprises, celui-ci s’apprête à lancer des mises à jour révolutionnaires pour améliorer l’expérience client. Découvrez ces nouveautés dans ce qui suit.

WordPress 6.0.3 promet une « version révolutionnaire » qui offrira davantage de Sécurité

Le 17 octobre 2022, WordPress Core a publié la version 6.0.3 , une version de sécurité uniquement. Cette version comprend un nombre important de correctifs de bogues de sécurité.

Toutes les versions de sécurité sont importantes. Vous voudrez peut-être planifier la mise à jour de vos installations WordPress bientôt, mais la bonne nouvelle est qu’il n’y a pas de bogues de sécurité à risque élevé ou critique corrigés dans cette version. Il n’est pas nécessaire de tout laisser tomber pour appliquer ce patch aujourd’hui, mais il serait préférable de réserver bientôt du temps dans votre calendrier.

Cette version de sécurité a été réalisée avec l’aide de plus de 11 chercheurs en sécurité et de plus de 28 volontaires et développeurs WordPress.org. Désormais, il appartient aux plus de 450 millions de propriétaires de sites WordPress de faire leur part et d’appliquer le correctif.

Répartition des bogues corrigés

J’ai fourni de brefs résumés des correctifs de bogues de sécurité et inclus un score de gravité CVSS pour chacun.

Les bugs de sécurité les plus risqués

Ces deux bogues de sécurité semblent présenter les risques les plus élevés. Ils ne nécessitent aucune autorisation et pourraient être transformés en armes en tant qu’attaques contre les configurations WordPress par défaut.

La bonne nouvelle est qu’une attaque réussie aurait un impact très limité. Les redirections ouvertes nécessitent de tromper un utilisateur et les balises et les termes d’un message peuvent être sans conséquence s’ils sont divulgués avant d’être publiés.

• Redirection ouverte dans wp_nonce_ays
  CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N — 4.3 (Moyen)
  Sécurise contre une redirection ouverte risque qui pourrait permettre à un attaquant de fournir un lien vers le nom de domaine du site WordPress, mais pourrait rediriger vers une autre URL de son choix. Cela pourrait être utilisé en tandem avec des attaques de phishing.
• Le point de terminaison REST peut renvoyer des termes ou des balises dans des publications non publiques
  CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N — 5.3 (Moyen)
  Empêche les points de terminaison WordPress REST de renvoyer les valeurs des termes ou des balises de publication non publiés. Cela pourrait amener des utilisateurs non authentifiés à récupérer les termes ou les valeurs des balises d’une publication non publiée, mais pas le contenu de la publication.

Publier via des bogues de messagerie

Si vous avez configuré “Publier par e-mail”, vous voudrez mettre à jour vers la version de sécurité 6.0.3 dès que possible. Les risques liés à cela pourraient inclure la fuite d’adresses e-mail et éventuellement permettre aux auteurs de publier du code HTML arbitraire (charges utiles XSS) dans leurs publications par e-mail.

• XSS stocké via wp-mail.php
  CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N — 3.7 (faible)
  améliore sécurité de la fonctionnalité d’écriture de boîte aux lettres dans WordPress pour empêcher les utilisateurs à autorisation inférieure de publier du code HTML arbitraire (par exemple, XSS) alors qu’ils n’y seraient normalement pas autorisés.
• L’adresse e-mail des expéditeurs peut être exposée via wp-mail.php
  CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N — 3.1 (Faible)
  Améliore la confidentialité et empêche la fuite de données de l’adresse e-mail de l’expéditeur en n’affichant plus l’adresse e-mail de l’auteur dans wp-mail.php, qui peut être publiquement accessible à tout visiteur si un site a activé et configuré “Publier par e-mail” dans Paramètres > Écriture.

Bugs de sécurité spécifiques à Gutenberg

Tous les correctifs de bugs de sécurité de Gutenberg peuvent être résumés comme un renforcement de la sécurité amélioré pour l’éditeur. Chacun nécessite une authentification en tant qu’utilisateur avec l’autorisation de modifier ou d’ajouter des publications dans WordPress (par exemple, un niveau d’accès suffisamment élevé pour utiliser l’éditeur Gutenberg), ces correctifs de bogues ont amélioré la désinfection des données pour le type de bloc respectif de chaque bogue.

• XSS dans le bloc Recherche
  CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N — 4.3 (Moyen)
  Nécessite un compte avec accès pour modifier ou ajouter des messages. Empêche XSS via le bloc de recherche.
• XSS dans le bloc RSS
  CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N — 4.3 (Moyen)
  Nécessite un compte avec accès pour modifier ou ajouter des messages. Empêche XSS via le bloc RSS.
• XSS dans le bloc Feature Image
  CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N — 4.3 (Moyen)
  Nécessite un compte avec accès pour modifier ou ajouter des messages. Empêche XSS via le bloc Feature Image.
• XSS dans le bloc Widget
  CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N — 4.3 (Moyen)
  Nécessite un compte avec accès pour modifier ou ajouter des messages. Empêche XSS via le bloc Widget.

conclusion

La version de sécurité 6.0.3 de WordPress corrige un grand nombre de bogues de sécurité, mais la gravité est seulement aussi élevée que le bogue corrigé avec le risque le plus élevé. Ce qui n’est que “Moyen”. Il est important de corriger, mais aucun de ces bogues ne présente un risque de niveau d’urgence.