Cela fait près de huit mois maintenant que, selon les dires des chercheurs, l’équipe WordPress a été informée d’une faille dans le système susceptible d’affecter le CMS qui, rappelons-le, est le système de gestion de contenu le plus populaire sur internet. Les chercheurs se sont servis de RIPS, outil d'analyse de code statique pour détecter automatiquement les vulnérabilités dans les applications PHP, pour détecter la faille. La vulnérabilité affecte le noyau du CMS WordPress, plus précisément les fonctions PHP. Ce qui en soit représente un très grand problème, car PHP est l’un des modules de programmation les plus populaires et les plus accessibles. En fait, la majeure partie des débutants dans la programmation commence par PHP. La vulnérabilité permet à un utilisateur mal intentionné d’insérer du code malveillant dans un site WordPress et rend possibilité la suppression de n'importe quel fichier de l'installation de WordPress et tout autre fichier sur le serveur que seul l'utilisateur du processus PHP a les permissions nécessaires pour supprimer. Même les fichiers suivants peuvent être supprimés : .htaccess, index.php et wp-config.php. Cela ne devrait en principe pas être possible. Face à une situation aussi périlleuse, il est d’autant plus curieux que l’équipe de WordPress n'ait visiblement rien fait. Ce genre d’incident semble se répéter ces dernières années. Rappelons qu'au début de cette année, une faille dans WordPress permettait de mettre les sites hors service avec un simple poste de travail.
Aucune solution ne semble être apportée par l'équipe de WordPress contre cette vulnérabilité qui concerne toutes les versions du célèbre gestionnaire de contenu, même la version 4.9.6 qui est la version actuelle. Toutefois, il faut avoir un certain niveau d’accès pour pouvoir exploiter cette faille. Cela pourrait expliquer pourquoi les équipes de WordPress semblent ne pas tailler une grande importance à cette faille qu’ils jugent peut-être sans risque majeur. Cependant, les chercheurs expliquent que si un utilisateur quelconque arrivait à enregistrer même un compte utilisateur de bas niveau sur un site et à élever ses privilèges, il peut exploiter cette vulnérabilité pour compromettre un site WordPress.
Source : RIPSTECH
Et vous ?
Colmater cette brèche ne devrait-il pas être la priorité de l’équipe WordPress ? Ce silence de l’équipe WordPress est-il une minimisation des risques d’attaques ou une incapacité de faire face au problème ?Voir aussi
Une faille dans WordPress permet de mettre les sites hors service, un poste de travail client suffit à accomplir la besogne Comparatif entre WordPress, Joomla et Drupal avec une infographie sur les systèmes de gestion de contenu WordPress est désormais utilisé sur plus de 30 % des sites web, le champion des CMS creuse encore l'écart avec la concurrence React : WordPress décide d'abandonner la bibliothèque JavaScript de Facebook suite à la polémique autour d'une clause de son octroi de licence En tant que développeur, que détestez-vous le plus dans WordPress ? Partagez votre expérience 
