WordPress

Source: Wordfence (blog). Wordfence décrit une vulnérabilité de lecture arbitraire de fichiers dans le plugin WordPress Anti‑Malware Security and Brute‑Force Firewall (100 000+ installations), exploitable par des comptes authentifiés au niveau abonné et corrigée en version 4.23.83. Type: Arbitrary File Read / LFI via une action AJAX sans contrôle de capacité. Impact: lecture de fichiers sensibles du serveur, dont wp-config.php (identifiants DB, clés/salts). Portée: versions 4.23.81 et antérieures. Correctif publié le 15 oct. 2025. Découverte: Dmitrii Ignatyev, via le Wordfence Bug Bounty Program (bounty: 960 $). 🔍 Détails techniques ...

Selon Wordfence (billet de blog cité en référence), une campagne d’exploitation à grande échelle cible des vulnérabilités d’installation arbitraire de plugins dans GutenKit et Hunk Companion, deux extensions WordPress totalisant plus de 48 000 installations actives. ⚠️ Les attaquants, sans authentification, abusent d’endpoints REST API exposés dont le permission_callback est défini à __return_true, permettant l’installation de plugins malveillants et une exécution de code à distance (RCE). Wordfence indique avoir bloqué plus de 8,7 millions de tentatives depuis le déploiement de règles de pare-feu. La campagne a repris le 8 octobre 2025, environ un an après la divulgation initiale, montrant un intérêt persistant pour ces failles non corrigées. ...

Selon un article de BleepingComputer, Pi-hole, un bloqueur de publicités populaire au niveau du réseau, a récemment divulgué une fuite de données impliquant les noms et adresses e-mail de ses donateurs. Cette fuite résulte d’une vulnérabilité dans le plugin de donation GiveWP utilisé sur WordPress. La vulnérabilité a permis l’exposition de données personnelles des donateurs, ce qui soulève des préoccupations concernant la sécurité des informations sur les plateformes de donation en ligne. Le problème a été découvert et signalé par l’équipe de Pi-hole, qui a pris des mesures pour sécuriser les données affectées. ...

L’article publié sur BleepingComputer met en lumière une vulnérabilité critique affectant plus de 200 000 sites WordPress utilisant le plugin Post SMTP. Cette faille permettrait à des hackers de prendre le contrôle du compte administrateur des sites touchés. Le plugin Post SMTP est largement utilisé pour configurer les paramètres SMTP sur les sites WordPress, ce qui en fait une cible de choix pour les attaquants cherchant à exploiter des failles de sécurité. La vulnérabilité en question permettrait à un attaquant d’exécuter des actions avec les privilèges d’un compte administrateur, compromettant ainsi la sécurité des sites affectés. ...

L’article publié par Sucuri analyse une campagne de malware ciblant WordPress, qui exploite les conteneurs Google Tag Manager (GTM) pour rediriger les utilisateurs vers des domaines de spam. Les chercheurs en sécurité ont découvert que cette attaque injecte des scripts GTM malveillants directement dans la base de données WordPress, plutôt que dans les fichiers de thème, rendant ainsi la détection plus difficile. La campagne a déjà affecté plus de 200 sites web et utilise le domaine légitime googletagmanager.com pour contourner les filtres de sécurité. ...

Selon un article publié par Bleeping Computer, le plugin populaire Gravity Forms pour WordPress a été victime d’une attaque de la chaîne d’approvisionnement. Cette attaque a compromis les installateurs manuels disponibles sur le site officiel, en les infectant avec une porte dérobée. Gravity Forms est largement utilisé par les sites WordPress pour créer des formulaires personnalisés. L’attaque a ciblé spécifiquement les utilisateurs qui téléchargeaient et installaient manuellement le plugin depuis le site officiel, insérant un code malveillant dans le processus d’installation. ...

L’article publié sur le blog de Sucuri explique comment le spam SEO s’infiltre dans les sites WordPress et propose des stratégies efficaces pour le supprimer, protégeant ainsi le contenu des utilisateurs. Le spam SEO est une technique malveillante qui vise à manipuler les résultats des moteurs de recherche en injectant du contenu indésirable dans les sites web. Les sites WordPress sont souvent ciblés en raison de leur popularité et de leurs vulnérabilités potentielles. ...

L’article de BleepingComputer rapporte une exploitation active d’une vulnérabilité critique dans le thème WordPress ‘Motors’. Cette faille permet une escalade de privilèges, permettant aux attaquants de s’emparer des comptes administrateurs et de prendre le contrôle total des sites affectés. La vulnérabilité est particulièrement préoccupante car elle touche un thème populaire utilisé par de nombreux sites WordPress. Les attaquants peuvent exploiter cette faille pour modifier le contenu du site, installer des logiciels malveillants ou voler des données sensibles. ...

L’article publié sur le blog de Sucuri met en garde contre une nouvelle menace ciblant les utilisateurs de WordPress. Une page de vérification Cloudflare factice est utilisée pour tromper les utilisateurs et diffuser un malware. Cette attaque fonctionne en redirigeant les utilisateurs vers une page qui imite une vérification de sécurité Cloudflare. Les utilisateurs sont invités à compléter une prétendue vérification, ce qui permet au malware de s’installer sur leur système. ...

Selon un article publié par Bleeping Computer, une vulnérabilité critique a été identifiée dans le plugin OttoKit de WordPress. Cette faille permet une escalade de privilèges non authentifiée, ce qui signifie que des attaquants peuvent exploiter cette faille sans avoir besoin de s’authentifier au préalable. Les hackers utilisent cette vulnérabilité pour créer des comptes administrateurs non autorisés sur les sites WordPress ciblés. Cela leur permet de prendre le contrôle total des sites affectés, compromettant ainsi leur sécurité et leur intégrité. ...