WPML 4.5.14 – Améliorations de sécurité

Nous venons de publier WPML 4.5.14 avec une amélioration de sécurité mineure.

Il y a quelques semaines, nous avons reçu des signalements concernant un avis de sécurité lié à WPML. L’avis s’affiche uniquement dans le panneau de contrôle Plesk et décrit le problème comme une vulnérabilité de type « Cross-Site Request Forgery (CSRF) ». Nous remercions toutes les personnes qui nous l’ont signalé.

Mise à jour : après la publication de WPML 4.5.14, nous avons reçu des retours de clients confirmant que cela corrige bien l’avis de sécurité en question dans Plesk.

Quand cette vulnérabilité apparaît

Il est extrêmement improbable que ce problème soit exploité, et il ne se produit que dans des circonstances très spécifiques :

• Un utilisateur disposant de droits d’administrateur clique sur un lien malveillant provenant d’un site externe en utilisant la même session ou les mêmes cookies de navigateur

… et l’une des conditions suivantes est également remplie :

• Le serveur est explicitement configuré pour autoriser le partage de ressources entre origines multiples (CORS) avec le domaine utilisé par l’attaquant
• L’utilisateur concerné utilise un navigateur qui ignore les paramètres CORS ou transmet des informations de cookies pour des requêtes sans politiques d’origine croisée

À notre connaissance, personne n’a réellement configuré ses sites de cette manière et personne n’a été affecté par ce problème.

WPML 4.5.14 est désormais disponible et résout ce problème.

L’importance des signalements de sécurité

Nous sommes conscients de l’importance des signalements de sécurité et nous réagissons généralement immédiatement. Cette fois, nous avons été retardés par les problèmes liés à WordPress 6.1, ce qui nous a pris un peu plus de temps que d’habitude pour répondre.

Nous améliorons déjà notre flux de travail pour nous assurer que même les moindres signalements de sécurité soient examinés et corrigés, et que les correctifs soient publiés immédiatement.

Comment mettre à jour vers WPML 4.5.14

Cette version publiée est en cours de déploiement progressif. Si vous souhaitez l’obtenir dès maintenant, vous pouvez vérifier les mises à jour manuellement. Pour ce faire, accédez à Extensions → Ajouter et cliquez sur l’onglet Commercial. Ensuite, cliquez sur Vérifier les mises à jour.

Vous pouvez également la télécharger directement depuis votre compte WPML.

Des remarques ou des commentaires ?

Utilisez la section des commentaires ci-dessous pour nous faire part de vos impressions sur cette version publiée et nous vous répondrons.