Avis du CERT-FR
Objet : Vulnérabilités dans Wordpress
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Injection de code indirecte
Systèmes affectés
Wordpress versions antérieures à 2.8.6.
Résumé
Des vulnérabilités dans Wordpress permettent à une personne malintentionnée d'effectuer une injection de code indirecte et/ou de contourner la politique de sécurité.
Description
Deux vulnérabilités ont été corrigées dans Wordpress. La première permet à une personne malintentionnée d'effectuer une attaque de type injection de code indirecte (cross-site scripting). La deuxième faille concerne le « nettoyage » des noms de fichiers téléchargés et peut être exploitée dans certaines configurations d'Apache. Les deux vulnérabilités requièrent que l'attaquant se soit authentifié et ait des droits d'écriture.
Solution
La version 2.8.6 de Wordpress corrige les problèmes.
Documentation
-
Annonce de la mise à jour 2.8.6 du 12 novembre 2009 :
http://wordpress.org/development/2009/11/wordpress-2-8-6-security-release/
Gestion détaillée du document
| Date | Description |
|---|---|
| 13 novembre 2009 | version initiale. |