Make this article seo compatible,Let there be subheadings for the article, be in french, create at least 700 words
Le populaire Beaver Builder WordPress Page Builder s’est avéré contenir une vulnérabilité XSS qui peut permettre à un attaquant d’injecter des scripts dans le site Web qui s’exécuteront lorsqu’un utilisateur visitera une page Web.
Constructeur de castor
Beaver Builder est un plugin populaire qui permet à quiconque de créer un site Web d’aspect professionnel à l’aide d’une interface glisser-déposer facile à utiliser. Les utilisateurs peuvent commencer avec un modèle prédéfini ou créer un site Web à partir de zéro.
Vulnérabilité de script intersite stocké (XSS)
Les chercheurs en sécurité de Wordfence ont publié un avis concernant une vulnérabilité XSS affectant le plugin de création de pages. Une vulnérabilité XSS se trouve généralement dans une partie d’un thème ou d’un plugin qui permet la saisie de l’utilisateur. Le défaut survient lorsqu’il n’y a pas de filtrage suffisant de ce qui peut être saisi (un processus appelé vérification des entrées). Une autre faille qui conduit à un XSS est l’échappement insuffisant de la sortie, qui est une mesure de sécurité sur la sortie d’un plugin qui empêche les scripts nuisibles de passer à un navigateur de site Web.
Cette vulnérabilité spécifique est appelée Stored XSS. Stocké signifie qu’un attaquant est capable d’injecter un script directement sur le serveur Web. Ceci est différent d’un XSS réfléchi qui nécessite qu’une victime clique sur un lien vers le site Web attaqué afin d’exécuter un script malveillant. Un XSS stocké (comme cela affecte le Beaver Builder) est généralement considéré comme plus dangereux qu’un XSS réfléchi.
Les failles de sécurité qui ont donné lieu à une vulnérabilité XSS dans Beaver Builder étaient dues à une désinfection insuffisante des entrées et à un échappement des sorties.
Wordfence a décrit la vulnérabilité :
« Le plugin Beaver Builder – WordPress Page Builder pour WordPress est vulnérable aux scripts inter-sites stockés via le widget de bouton du plugin dans toutes les versions jusqu’à la 2.8.0.5 incluse en raison d’une vérification insuffisante des entrées et d’un échappement de sortie sur les attributs fournis par l’utilisateur. Cela permet aux attaquants authentifiés, avec un accès au niveau contributeur et supérieur, d’injecter des scripts Web arbitraires dans des pages qui s’exécuteront chaque fois qu’un utilisateur accède à une page injectée.
La vulnérabilité est classée 6,4, une menace de niveau moyen. Les attaquants doivent obtenir au moins des niveaux d’autorisation au niveau du contributeur pour pouvoir lancer une attaque, ce qui rend cette vulnérabilité un peu plus difficile à exploiter.
Le journal des modifications officiel de Beaver Builder, qui documente le contenu d’une mise à jour, indique qu’un correctif a été publié dans la version 2.8.0.7.
Le journal des modifications note :
« Résoudre le problème XSS dans les modules de boutons et de groupes de boutons lors de l’utilisation de Lightbox »
Action recommandée: C’est généralement une bonne pratique de mettre à jour et de corriger une vulnérabilité avant qu’un attaquant puisse l’exploiter. Il est recommandé de préparer le site avant de publier une mise à jour en direct au cas où le plugin mis à jour entrerait en conflit avec un autre plugin ou thème.
Lisez l’avis de Wordfence :
Beaver Builder – WordPress Page Builder <= 2.8.0.5 – Scripts intersites stockés authentifiés (Contributeur+) via un bouton
Voir également:
Image en vedette par Shutterstock/Prostock-studio