Un avis de vulnérabilité a été émis concernant deux thèmes WordPress trouvés sur ThemeForest qui pourraient permettre à un pirate de supprimer des fichiers arbitraires et d'injecter des scripts malveillants dans un site Web.
- Un avis de vulnérabilité a été émis pour deux thèmes WordPress sur ThemeForest.
- Ces thèmes, Betheme et Enfold, cumulent plus de 500 000 ventes.
- Betheme présente une vulnérabilité d'injection d'objet PHP.
- Enfold contient une faille XSS non corrigée.
Deux thèmes WordPress vendus sur ThemeForest
Les deux thèmes WordPress présentant des vulnérabilités sont vendus sur ThemeForest et ensemble, ils réalisent plus d'un demi-million de ventes.
Les deux thèmes sont :
- Thème Betheme pour WordPress (306 362 ventes)
- The Enfold – Thème polyvalent réactif pour WordPress (260 607 ventes)
Vulnérabilité du thème Betheme pour WordPress
Wordfence a émis un avis indiquant que le thème Betheme contenait une vulnérabilité d'injection d'objet PHP qui était considérée comme une menace élevée.
Wordfence a été discret dans sa description de la vulnérabilité et n'a fourni aucun détail sur la faille spécifique. Cependant, dans le contexte d'un thème WordPress, une vulnérabilité d'injection d'objet PHP survient généralement lorsqu'une saisie utilisateur n'est pas correctement filtrée (nettoyée) pour les téléchargements et les saisies indésirables.
Voici comment Wordfence l'a décrit :
« Le thème Betheme pour WordPress est vulnérable à l'injection d'objets PHP dans toutes les versions jusqu'à 27.5.6 incluse via la désérialisation d'une entrée non fiable de la valeur méta de publication « mfn-page-items ». Cela permet aux attaquants authentifiés, avec un accès de niveau contributeur et supérieur, d'injecter un objet PHP. Aucune chaîne POP connue n'est présente dans le plugin vulnérable.
Si une chaîne POP est présente via un plugin ou un thème supplémentaire installé sur le système cible, elle pourrait permettre à l'attaquant de supprimer des fichiers arbitraires, de récupérer des données sensibles ou d'exécuter du code.
Le thème Betheme a-t-il été corrigé ?
Le thème Betheme pour WordPress a reçu un correctif le 30 août 2024. Mais l'avis de Wordfence ne le reconnaît pas. Il est possible que l'avis doive être mis à jour, je n'en suis pas sûr. Néanmoins, il est recommandé aux utilisateurs du thème Enfold d'envisager de mettre à jour leur thème vers la version la plus récente, qui est la version 27.5.7.1.
The Enfold – Thème polyvalent et réactif pour WordPress
Le thème WordPress multi-usages Enfold Responsive contient une faille différente et a reçu une note de gravité inférieure de 6,4. Cela dit, l'éditeur du thème n'a pas publié de correctif pour la vulnérabilité.
Un script intersite stocké (XSS) a été découvert dans le thème WordPress à partir d'une faille provenant d'un échec de nettoyage des entrées.
Wordfence décrit la vulnérabilité :
« Le thème Enfold – Responsive Multi-Purpose Theme pour WordPress est vulnérable aux scripts intersites stockés via les paramètres « wrapper_class » et « class » dans toutes les versions jusqu'à la version 6.0.3 incluse en raison d'une désinfection insuffisante des entrées et d'un échappement des sorties. Cela permet aux attaquants authentifiés, avec un accès de niveau Contributeur et supérieur, d'injecter des scripts Web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée. »
La vulnérabilité d'Enfold n'a pas été corrigée
Le thème Enfold – Responsive Multi-Purpose pour WordPress n’a pas été corrigé au moment de la rédaction de cet article et reste vulnérable. Le journal des modifications documentant les mises à jour du thème montre que sa dernière mise à jour date du 19 août 2024.
Capture d'écran du journal des modifications du thème WordPress Enfold
Le thème Enfold – Responsive Multi-Purpose pour WordPress n’a pas été corrigé au moment de la rédaction de cet article et reste vulnérable.
L'avertissement de Wordfence prévenait :
« Aucun correctif connu n'est disponible. Veuillez examiner en détail les détails de la vulnérabilité et appliquer des mesures d'atténuation en fonction de la tolérance au risque de votre organisation. Il peut être préférable de désinstaller le logiciel concerné et de trouver un logiciel de remplacement. »
Lisez les avis :
Betheme <= 27.5.6 – Injection d'objet PHP authentifiée (Contributeur+)
Enfold <= 6.0.3 – Script intersite authentifié (contributeur+) stocké via wrapper_class et les paramètres de classe
FAQ
Quelles sont les vulnérabilités connues de WordPress ?
WordPress est un système de gestion de contenu (CMS) très populaire, ce qui le rend une cible attrayante pour les pirates informatiques. Parmi les vulnérabilités connues figurent des failles de sécurité dans l'installation et la configuration du CMS, ainsi que dans les plugins et thèmes tiers utilisés avec WordPress. Les attaques par force brute sur les mots de passe faibles sont également courantes.
Enfin, le manque de mises à jour régulières et la négligence des bonnes pratiques de sécurité peuvent également conduire à des problèmes de sécurité pour un site WordPress.
Quelles sont les vulnérabilités des plugins WordPress en matière de sécurité ?
Les vulnérabilités des plugins WordPress en matière de sécurité peuvent être dues à leur code malveillant, qui peut contenir des failles exploitées par les attaquants. De plus, ces plugins peuvent avoir des mises à jour non régulières ou encore utiliser des technologies obsolètes qui rendent leur installation vulnérable aux cyberattaques. Les développeurs de plugins WordPress ne sont pas toujours très attentifs aux questions de sécurité, si bien que certains plugins peuvent présenter des failles importantes sans que cela soit détecté rapidement.
Enfin, la mise en place de plusieurs plugins sur un même site peut entraîner une accumulation de vulnérabilités et faciliter les intrusions.
Y a-t-il des vulnérabilités connues pour les sites WordPress ?
Oui, il existe des vulnérabilités connues pour les sites WordPress. Cependant, ces vulnérabilités sont généralement rapidement corrigées par l'équipe de développement.
Il est donc essentiel de maintenir son site à jour en installant régulièrement les mises à jour et en choisissant des plugins fiables. En outre, il est important d'utiliser un mot de passe sécurisé et de limiter l'accès aux utilisateurs autorisés pour minimiser les risques.
Comment installer un thème sur WordPress ?
Pour installer un thème sur WordPress, vous devez tout d'abord vous connecter à votre tableau de bord. Ensuite, rendez-vous dans l'onglet "Apparence" et sélectionnez "Thèmes". Cliquez sur le bouton "Ajouter" en haut de la page pour télécharger un nouveau thème depuis le répertoire officiel de WordPress ou cliquez sur "Mettre un thème en ligne" si vous avez déjà téléchargé un fichier ZIP du thème.
Une fois que votre thème est installé, il ne reste plus qu'à l'activer en cliquant sur le bouton correspondant à côté du nom du thème.
Existe-t-il une base de données des vulnérabilités des plugins WordPress ?
Oui, il existe une base de données appelée CVE (Common Vulnerabilities and Exposures) qui répertorie les vulnérabilités connues des plugins WordPress. Cette base est gérée par l'Organisation pour la sécurité du traitement de l'information (MITRE). Cependant, tous les développeurs ne signalent pas toujours leurs vulnérabilités à cette base de données.
Il peut donc y avoir d'autres bases ou listes non exhaustives disponibles en ligne.
