Plus tôt aujourd'hui, une faille de sécurité importante a été découverte dans la base de code AffiliateWP qui pourrait potentiellement être exploitée par une personne mal intentionnée.
La faille était due à plusieurs requêtes de base de données pour les données d'affilié, de parrainage, de visite et créatives qui étaient sujettes à une possible injection SQL.
Avec la version 1.5.7, la faille a été corrigée.
Quelle est l'importance de la mise à jour vers la version 1.5.7 ?
Nous prenons la sécurité très au sérieux et encourageons toujours les utilisateurs à passer aux dernières versions dès que possible. Dans ce cas particulier, nous vous recommandons de mettre à jour immédiatement pour vous assurer que la faille est supprimée.
Comment la faille pourrait-elle être exploitée ?
Pour des raisons de sécurité, nous ne pouvons pas fournir les détails exacts sur la manière dont la faille pourrait être exploitée, mais nous pouvons fournir un aperçu de base pour vous donner une idée de ce qu'était le problème.
En raison de quelques paramètres qui n'ont pas été correctement assainis dans nos requêtes de base de données réservées aux administrateurs, il était potentiellement possible pour quelqu'un de manipuler les requêtes et d'effectuer une attaque par injection SQL.
Remarque: il n'était possible que cette injection SQL se produise lorsque l'utilisateur actuellement connecté avait les autorisations nécessaires pour afficher et modifier les données d'affilié. Les utilisateurs déconnectés et les utilisateurs de bas niveau ne sont pas affectés. Cela signifie qu'un attaquant devrait inciter un administrateur de site à cliquer sur un mauvais lien pour que la faille soit exploitée.
Le problème a été corrigé dans les heures suivant sa découverte et la mise à jour a été rendue disponible immédiatement après. Pour garantir la sécurité à 100 % de votre site, veuillez mettre à jour vers la version 1.5.7.
Si vous avez des questions ou des préoccupations concernant cette mise à jour ou la sécurité de votre site, n'hésitez pas à nous contacter.
1 commentaire