S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 01 décembre 2010 No CERTA-2010-AVI-568

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans WordPress

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Élévation de privilèges ;
• injection de code indirecte à distance.

2 Systèmes affectés

WordPress versions 3.0.1 et antérieures.

3 Résumé

Des vulnérabilités dans WordPress permettent une élévation de privilèges et des injections de code indirectes.

4 Description

Plusieurs vulnérabilités ont été découvertes dans WordPress :

• un utilisateur disposant de droits de niveau auteur peut profiter d'une vulnérabilité pour élever ses privilèges ;
• plusieurs injections de code indirectes (XSS) affectent la fonction request_filesystem_credentials() ou sont possibles lors de la suppression d'une extension.

5 Solution

Mettre WordPress à jour en version 3.0.2 (cf. section Documentation).

6 Documentation

• Notes de la version 3.0.2 de WordPress du 30 novembre 2010 :

  http://codex.wordpress.org/Version_3.0.2
  

• Téléchargement de WordPress :

  http://wordpress.org/download/
  

Gestion détaillée du document

01 décembre 2010

version initiale.