Encore une faille dans un plugin WordPress : 1 million de sites exposés à des fuites de données

Bonjour à toutes et à tous.

Encore une faille dans un plugin WordPress : 1 million de sites exposés à des fuites de données

Voir --> Encore une faille dans un plugin WordPress

Extrait :

WordPress se retrouve une fois de plus au cœur de l’actualité cyber. Une vulnérabilité importante a été découverte dans le plugin W3 Total Cache, module très utilisé par les abonnés WP pour améliorer les performances de leurs sites web. Sauf que cette fois-ci, les gains de vitesse et de référencement SEO pourraient coûter cher.
Une faille présente dans toutes les versions de W3 Total Cache

Si vous n’avez jamais entendu parler de W3 Total Cache, il s’agit d’un plugin réputé pour booster les performances des sites WordPress (temps de chargement, donc référencement SEO) grâce à une série de techniques de mise en cache avancées. Installé sur plus d’un million de sites WordPress, il sera désormais aussi connu pour avoir mis les données de ses utilisateurs et utilisatrices en danger.

C’est dans un post de blog que les équipes de recherche de Wordfence ont communiqué sur une faille importante de l’extension. Estampillée CVE-2024-12365, atteignant un score CVSS de 8.5, la vulnérabilité résidait dans la fonction is_w3tc_admin_page et concernait absolument toutes les versions de W3 Total Cache, jusqu’à la 2.8.1 comprise.

Dans le détail, la fonction incriminée souffrait d’une absence de vérification des permissions, permettant à un utilisateur authentifié, même avec un rôle aussi basique que celui d’abonné, d'accéder à des informations critiques et de mener des actions non autorisées.