Une faille de sécurité critique (CVE-2024-5932, CVSS 10.0) a été identifiée dans l’extension WordPress GiveWP, qui fournit des fonctionnalités de don et de collecte de fonds sur plus de 100 000 sites web. Ce défaut permet l’exécution de code à distance (RCE) par des utilisateurs non authentifiés, offrant potentiellement aux attaquants un contrôle total sur les sites concernés.
| Produit | give |
| Date | 26/08/2024 07:22:42 |
Résumé technique
L’extension GiveWP – Donation Plugin and Fundraising Platform pour WordPress est vulnérable à une injection d’objets PHP dans toutes les versions jusqu’à la 3.14.1 incluse, via la désérialisation d’entrées non fiables reçues par le paramètre give_title. Cela permet à des attaquants non authentifiés d’injecter un objet PHP. La présence supplémentaire d’une chaîne POP permet aux attaquants à la fois d’exécuter du code à distance et de supprimer des fichiers arbitraires.
Recommandations
Mettez à jour vers les versions les plus récentes disponibles.
Protégez votre organisation grâce à Threat Intelligence and Digital Risk Protection.
Faites confiance à ISGroup pour une mission concrète et sur mesure :
- Une évaluation ciblée de votre environnement et de vos exigences
- Des constats clairs et une feuille de route priorisée et opérationnelle
- L’accompagnement direct de spécialistes expérimentés jusqu’à la remédiation et la mise en œuvre