Les passionnés de la sécurité chez Sucuri ont trouvé deux failles importantes dans la sécurité du très populaire module WordPress « All In One SEO Pack ». Effectivement, avec plus de 18 millions de téléchargements, nous croyons que tout utilisateur WordPress devrait être au courant de cette situation.
Ces brèches de sécurité permettraient aux attaquants d’accéder à des comptes utilisateur n’ayant pas des accès administratifs (utilisateur, auteur et autres non-administrateurs), d’élever leurs privilèges et d’injecter du code malicieux dans le panneau de contrôle administratif.
Soyez rassuré, l’équipe qui a créé le module en question a déjà mis disponible un « patch » qui corrige ce problème.
Marc-Alexandre Montpas, auteur de l’article portant sur ce sujet sur le blogue de Sucuri, explique plus en détail comment une personne malintentionnée pourrait utiliser ces failles et créer une escalade des privilèges d’un utilisateur n’ayant pas de droits administratifs.
Les répercussions de ces failles peuvent être tant au niveau de son classement dans les engins de recherche (SEO et SERP), mais peut aussi affecter le site WordPress en question en permettant du « cross site scripting (XSS) ».
Comment prévenir le problème ?
Aussi simple que de faire la mise à jour du module! À partir de votre panneau de contrôle administratif WordPress, rendez-vous à la section des (plug-ins) et sélectionnez le module « All in One SEO Pack ». Dans le menu déroulant (au haut ou au bas de la page) sélectionnez l’option de mise à jour. Le système devrait automatiquement aller récupérer la dernière version disponible pour vous automatiquement.
Pour être certain que tout est en ordre, regardez les détails du module et assurez-vous d’avoir la dernière version du module (actuellement 2.1.6).
