A peine avait-il lancé la mise à jour 4.2 que WordPress incite ses utilisateurs à installer la mouture 4.2.1, qui comble une faille critique XSS permettant potentiellement de prendre le contrôle d’un site à distance.
C’est le chercheur finlandais Jouko Pynnönen qui a découvert cette faille zero-day dans WordPress 4.2 : elle permet, en injectant du code JavaScript dans les commentaires, de profiter d’une faille cross-site scripting (XSS) qui s’exécute lorsque le commentaire est lu par une personne connectée avec des droits d’administrateurs.
C’est ainsi que l’attaquant peut potentiellement exécuter du code sur le serveur via l’éditeur de thèmes et de plugins. D’autant plus qu’il est possible de « changer le mot de passe administrateur, créer de nouveaux comptes administrateurs ou faire tout ce que peut faire un administrateur sur le site », écrit Jouko Pynnönen.