samedi 26 septembre 2026

À propos

Contact

WP Moderne

.

S'abonner

Vous parcourez

Sécurité

Durcissement, nonces, capacités, échappement, sanitation, veille vulnérabilités.

112 articles

Liste des articles

Sécurité

Extension rachetée devenue malveillante : anatomie d’une attaque de chaîne

Une extension populaire, un nouveau propriétaire, une mise à jour anodine : le scénario qui a déjà touché plusieurs extensions WordPress connues.

Par Clément Hadrot • 19 mars 2021 • 4 min de lecture
Sécurité

Path traversal dans une extension : les inclusions de fichiers dangereuses

Un simple paramètre de template mal contrôlé peut suffire à lire n'importe quel fichier du serveur. Trois cas vus en audit, trois

Par Clément Hadrot • 3 mars 2021 • 4 min de lecture
Sécurité

SSRF dans WordPress : wp_safe_remote_get et les URL fournies par l’utilisateur

Un champ « importer depuis une URL » mal conçu peut servir à sonder le réseau interne d'un hébergeur. Le rôle méconnu

Par Clément Hadrot • 22 janvier 2021 • 4 min de lecture
Sécurité

Restreindre wp-admin par IP ou authentification HTTP sans casser admin-ajax

Réduire l'accès à l'administration à une liste d'IP ou un mot de passe supplémentaire, sans bloquer les appels front-end qui transitent par

Par Clément Hadrot • 19 janvier 2021 • 4 min de lecture
Sécurité

$wpdb->prepare et injections SQL : les pièges que même les pros font encore

LIKE, IN(), types de placeholders mal choisis : $wpdb->prepare protège des injections SQL seulement s'il est utilisé correctement. Voici les erreurs classiques.

Par Clément Hadrot • 14 janvier 2021 • 5 min de lecture
Sécurité

Redirections ouvertes : wp_safe_redirect plutôt que wp_redirect

Une redirection après connexion qui accepte n'importe quelle URL devient un outil de phishing clé en main. Le correctif tient en une

Par Clément Hadrot • 7 janvier 2021 • 4 min de lecture
Sécurité

Force brute sur wp-login.php : limiter les tentatives de connexion

Des milliers de tentatives de connexion par jour, sur presque tous les sites WordPress. Comment limiter la casse côté application et côté

Par Clément Hadrot • 24 décembre 2020 • 4 min de lecture
Sécurité

Énumération des utilisateurs WordPress : ?author= et /wp/v2/users

Deviner qui sont vos administrateurs prend trente secondes à un attaquant. Comment fermer ces portes sans abîmer l'API REST ni le SEO.

Par Clément Hadrot • 17 décembre 2020 • 4 min de lecture