WP Cerber Security 9.10

English version: WP Cerber Security 9.10

Dans cette mise à jour, nous avons renforcé l'authentification à deux facteurs contre les tentatives répétées, corrigé une faille dans la protection des données utilisateur de l'API REST et amélioré la gestion des données non fiables dans les interfaces d'administration de WP Cerber. Nous avons également corrigé les rapports d'erreurs lors de l'exportation et de la suppression des données personnelles RGPD, afin que les défaillances de la base de données du journal d'activité ne soient plus interprétées à tort comme des résultats vides.

Points clés

Authentification à deux facteurs renforcée. WP Cerber limite désormais les tentatives d'authentification à deux facteurs répétées et les saisies de code PIN incorrectes par compte. Le dépassement de ces limites bloque temporairement les nouvelles connexions et alerte le propriétaire du compte.

Des restrictions plus cohérentes pour l'API REST. Le paramètre qui bloque l'accès aux données utilisateur WordPress couvre désormais davantage de variantes de requêtes gérées par WordPress.

Écrans d'administration plus sûrs. L'échappement amélioré des données corrige une vulnérabilité XSS stockée impliquant des données non fiables affichées dans les écrans d'administration de WP Cerber.

Résultats conformes au RGPD. L'exportation et la suppression des données personnelles signalent désormais les erreurs de lecture du journal d'activité au lieu d'indiquer à tort une réussite.

Modifications de sécurité

L'authentification à deux facteurs (2FA) ajoute une couche de protection essentielle lorsqu'un mot de passe est compromis. Cette mise à jour instaure des limites par compte concernant le nombre de tentatives de 2FA et de codes PIN incorrects, rendant ainsi les tentatives répétées de deviner un code PIN beaucoup plus difficiles.

La protection mise à jour comprend plusieurs modifications :

Limites au niveau du compte. WP Cerber limite la fréquence des demandes de nouvelles authentifications à deux facteurs et le nombre de tentatives de code PIN incorrectes autorisées.

Blocage temporaire des comptes. En cas de dépassement des limites, WP Cerber bloque toute nouvelle connexion au compte concerné pendant 24 heures et notifie le titulaire du compte d'une possible compromission de son mot de passe.

Application uniforme. Les restrictions s'appliquent à toutes les méthodes de connexion prises en charge, et pas seulement au formulaire de connexion standard de WordPress.

Les sessions en cours restent valides. Le verrouillage d'un compte n'interrompt pas les sessions déjà authentifiées.

Gestion des erreurs plus sûre. En cas d'erreur critique de sécurité lors de la vérification de l'authentification à deux facteurs, WP Cerber refuse la connexion au lieu de l'autoriser à se poursuivre sans authentification à deux facteurs.

Journal d'activité : les événements de verrouillage de compte sont enregistrés dans le journal d'activité, ce qui aide les administrateurs à enquêter sur les activités de connexion suspectes.

Modifier le mot de passe d'un compte ne supprime pas un verrouillage actif. Les administrateurs ayant vérifié la sécurité d'un compte peuvent rétablir l'accès plus tôt via WP-CLI.

Il s'agit de la première étape de nos travaux sur ces mesures de protection. D'autres améliorations concernant la gestion des défis d'authentification à deux facteurs sont prévues.

Amélioration de la protection des données utilisateur de l'API REST

Le paramètre « Bloquer l'accès aux données des utilisateurs via l'API REST » permet d'empêcher l'accès public aux informations des utilisateurs WordPress.

Nous avons identifié et corrigé une incohérence entre la façon dont WP Cerber vérifie certaines requêtes d'API REST et la façon dont WordPress les traite. Dans certaines conditions, cela pouvait permettre à certaines requêtes de contourner les restrictions prévues.

WP Cerber applique désormais la protection de manière plus uniforme aux formats de requêtes API REST pris en charge. Nous avons également amélioré la couverture des routes associées aux mots de passe d'application.

Le paramétrage actuel reste inchangé, les protections supplémentaires étant appliquées automatiquement lorsqu'il est activé. Aucune modification de configuration n'est requise.

Protection améliorée contre les attaques XSS stockées dans les écrans d'administration

WP Cerber affiche des informations provenant de sources externes dans plusieurs parties de son interface d'administration. Ces données doivent être considérées comme non fiables, même si elles semblent contenir du texte ordinaire.

Nous avons corrigé la manière dont certaines valeurs fournies de l'extérieur sont traitées et affichées, en résolvant une vulnérabilité de type cross-site scripting (XSS) stockée dans les vues d'administration concernées.

La gestion mise à jour applique un échappement de sortie approprié afin que les valeurs non fiables soient affichées sous forme de texte plutôt qu'interprétées comme du code exécutable. Ces modifications concernent les écrans du tableau de bord WP Cerber et les interfaces Cerber.Hub.

Les valeurs précédemment mises en cache sont conservées en toute sécurité après la mise à jour. Aucune modification de configuration supplémentaire n'est requise.

Expérience administrative

Libellé plus clair pour l'événement de verrouillage de compte. L'événement « Compte temporairement verrouillé » du journal d'activité s'affiche désormais comme suit : « Compte temporairement verrouillé ». Cette formulation modifiée décrit un événement enregistré sans laisser entendre que le compte est toujours verrouillé.

Amélioration du diagnostic dans le résumé utilisateur. WP Cerber enregistre désormais les échecs de récupération des enregistrements de dernière connexion et des détails d'activation BuddyPress, ce qui facilite l'identification des raisons pour lesquelles certaines informations sont manquantes dans un résumé utilisateur.

L'exportation et l'effacement RGPD signalent désormais correctement les erreurs du journal d'activité.

Lorsqu'une requête à la base de données du journal d'activité échouait, WP Cerber pouvait interpréter le résultat comme un journal vide plutôt que comme une erreur de base de données. Lors de l'exportation et de l'effacement des données personnelles conformément au RGPD, cela pouvait entraîner des résultats erronés.

Nous avons mis à jour l'interface du journal d'activité afin de distinguer les défaillances de la base de données des résultats vides légitimes.

L'exportation des données personnelles signale désormais les erreurs de lecture du journal d'activité au lieu d'indiquer par erreur qu'aucune activité n'a été enregistrée ou d'interrompre l'exportation prématurément.

L'effacement des données personnelles ne signale plus sa réussite lorsqu'une erreur de la base de données du journal d'activité empêche WP Cerber de vérifier que les enregistrements concernés ont été supprimés.

Pour les propriétaires de sites gérant les demandes de confidentialité, cette distinction est importante. Un résultat vide et une requête de base de données ayant échoué sont deux choses différentes, et WP Cerber les signale désormais en conséquence.

Compatibilité testée

Cette version a été testée avec PHP 7.4.33, 8.0.30, 8.1.34, 8.2.33, 8.3.33, 8.4.24 et 8.5.9, et avec WordPress 5.8.14, 6.6.6, 6.7.6, 6.8.7, 6.9.6 et 7.1.

Corrections de bugs

Les mentions « BLOQUÉ » et « INTERDIT » ont été rétablies sur la page Utilisateurs. Des modifications apportées au balisage de la colonne des noms d'utilisateur dans WordPress ont entraîné un dysfonctionnement de nos règles CSS. Les mentions d'état et la surbrillance rouge des noms d'utilisateur concernés s'affichent désormais correctement.

Les requêtes API REST malformées ne provoquent plus d'erreurs HTTP 500. WP Cerber gère désormais les formats de paramètres API REST inattendus sans déclencher d'erreur PHP non interceptée. Ces requêtes sont transmises à WordPress pour un traitement normal, sans exposer les données utilisateur.