Bulletin d'alerte Debian

DLA-1673-1 wordpress -- Mise à jour de sécurité pour LTS

Date du rapport :
11 février 2019
Paquets concernés :
wordpress
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 916403.
Dans le dictionnaire CVE du Mitre : CVE-2018-20147, CVE-2018-20148, CVE-2018-20149, CVE-2018-20150, CVE-2018-20151, CVE-2018-20152, CVE-2018-20153.
Plus de précisions :
  • CVE-2018-20147

    Des auteurs pourraient modifier les métadonnées pour contourner les restrictions prévues pour la suppression de fichiers.

  • CVE-2018-20148

    Des contributeurs pourraient réaliser des attaques par injection d’objet PHP à l’aide de métadonnées contrefaites dans un appel wp.getMediaItem XMLRPC. Cela est provoqué par le mauvais traitement de données sérialisées dans phar://·URLs dans la fonction wp_get_attachment_thumb_file dans wp-includes/post.php.

  • CVE-2018-20149

    Lorsque le serveur HTTP Apache HTTP est utilisé, des auteurs pourraient téléverser des fichiers contrefaits contournant les restrictions de type MIME prévues, conduisant à une faille de script intersite (XSS), comme démontré par un fichier .jpg sans données JPEG.

  • CVE-2018-20150

    Des URL contrefaits pourraient faire apparaitre des failles de script intersite (XSS) pour certains cas d’utilisation impliquant des greffons.

  • CVE-2018-20151

    La page d’accueil de l’utilisateur pourrait être lue par un robot d’indexation de moteur de recherche si une configuration inhabituelle était choisie. Le moteur de recherche pourrait alors indexer et afficher l’adresse de courriel de l’utilisateur et (rarement) le mot de passe généré par défaut.

  • CVE-2018-20152

    Des auteurs pourraient contourner des restrictions prévues sur des types d’article à l’aide d’entrée contrefaite.

  • CVE-2018-20153

    Des contributeurs pourraient modifier de nouveaux commentaires faits par des utilisateurs avec de meilleurs privilèges, éventuellement causant une faille de script intersite (XSS).

Pour Debian 8 Jessie, ces problèmes ont été corrigés dans la version 4.1.25+dfsg-1+deb8u1.

Nous vous recommandons de mettre à jour vos paquets wordpress.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.