Bulletin du 1 août 2025


vendredi 1 août 2025

Les actualités de la cybersécurité

  • Vulnérabilité dans Base44

    L'équipe de Wiz Research a dévoilé une vulnérabilité affectant Base44.

    La faille permettait de contourner l’authentification pour accéder à des applications censées être privées, en utilisant uniquement un identifiant d’application app_id.

    Deux endpoints API exposés /auth/register et /auth/verify-otp, permettaient à un attaquant de s’enregistrer sur une application privée en fournissant seulement l’app_id visible dans l’URL et le manifest de l’app, de vérifier son adresse e-mail via un OTP, de se connecter ensuite normalement, même si l’accès était restreint par SSO.

    Cette vulnérabilité, ouvrait un accès complet à des données internes sensibles

    WIZ, 31 juillet 2025, en anglais
  • WordPress : un plugin malveillant crée une backdoor et un compte admin caché

    Les chercheurs de Sucuri ont découvert une compromission sophistiquée visant un site WordPress via un faux plugin intitulé "WP Compatibility Patch". Derrière cette extension en apparence légitime se cache une porte dérobée permettant à un attaquant de créer un compte administrateur persistant et invisible nommé adminbackup.

    Sucuri, 31 juillet 2025, en anglais
  • AIR2025 : La CNIL ouvre le débat sur les données post mortem

    L’événement AIR2025, organisé par la CNIL, portera cette année sur un sujet aussi sensible qu’actuel : le devenir des données numériques après la mort.

    À travers deux tables rondes, cette initiative a pour objectif de croiser les regards scientifiques, juridiques et sociétaux sur les données post mortem, leur usage, leur valeur, et les enjeux qu’elles soulèvent.

    CNIL, 30 juillet 2025, en français
  • Orange porte plainte après une cyberattaque

    Orange a détecté une cyberattaque ciblant un de ses systèmes d’information. L’intervention rapide de Orange Cyberdefense a permis d’isoler les services potentiellement touchés et d’en limiter les impacts.

    Les opérations d’isolement ont entraîné des interruptions temporaires sur certaines plateformes destinées aux clients Entreprises et quelques services grand public.

    Des équipes dédiées ont été mobilisées pour informer et accompagner les clients concernés.

    Orange, 30 juillet 2025, en français
  • Le groupe Scattered Spider cible les environnements ESXi

    Scattered Spider, groupe cybercriminel notoire, s’attaque aux hyperviseurs VMware ESXi dans les secteurs du commerce de détail, du transport aérien et du transport aux États-Unis, dans le but de déployer des ransomwares sur des infrastructures critiques.

    The Hacker News, 30 juillet 2025, en anglais
  • Séance plénière CNIL : focus sur les traitements de données sensibles

    La CNIL s’est réunie en séance plénière pour examiner une série de projets de délibérations portant sur des traitements de données personnelles dans des secteurs stratégiques comme la défense, la santé, ou encore la navigation de plaisance.

    CNIL, 30 juillet 2025, en français

Focus sur les vulnérabilités récentes

  • WordPress : vulnérabilité dans le plugin AI Engine

    Wordfence a publié un bulletin de sécurité à la suite d’un rapport du chercheur ISMAILSHADOW concernant une vulnérabilité dans le plugin AI Engine.

    Référencée sous le code CVE-2025-7847 : cette vulnérabilité permet à un utilisateur authentifié ayant le niveau abonné ou supérieur, de transférer des fichiers arbitraires sur le serveur, en raison de l’absence de validation adéquate dans la fonction rest_simpleFileUpload(). Cette action n’est exploitable que si l’option API REST publique est activée dans les paramètres, ce qui peut aboutir à l’exécution de code à distance.

    Wordfence, 31 juillet 2025, en anglais
  • Apple corrige 29 vulnérabilités dans iOS et iPadOS

    Apple a publié une mise à jour de sécurité pour iOS et iPadOS , corrigeant un totale de 29 vulnérabilités, principalement au sein de WebKit, le moteur de rendu utilisé par Safari et d'autres applications.

    Référencées sous les codes :

    • CVE-2025-31229 : Une défaillance logique dans VoiceOver peut permettre de divulguer le code de déverrouillage en le lisant à haute voix.
    • CVE-2025-43217 : Les appareils pouvaient ne pas afficher les indicateurs de confidentialité lors de l’accès au micro ou à la caméra, privant l’utilisateur de cette information.
    • CVE-2025-43227 : La visite d’un site malveillant spécialement conçu pouvait exposer des informations sensibles.
    • CVE-2025-43228 : En visitant un site web malveillant, l’utilisateur pouvait être trompé par une fausse adresse affichée dans la barre de navigation. Le site malveillant profitait d’un défaut dans le navigateur pour afficher une adresse web qui semble légitime, alors qu’il s’agit en réalité d’un site contrôlé par un attaquant.
    Apple, 31 juillet 2025, en anglais
  • WordPress : vulnérabilité dans le thème Alone

    Wordfence a publié un bulletin de sécurité à la suite d’un rapport du chercheur Thái An concernant une faille critique dans le thème Alone – Charity Multipurpose Non-profit.

    Référencée sous le code CVE-2025-5394 : un attaquant non authentifié peut installer un plugin malveillant à distance et obtenir une exécution de code sur le serveur pouvant permettre la prise de contrôle du site. La vulnérabilité réside dans la fonction alone_import_pack_install_plugin() : celle-ci est accessible via une action AJAX ouverte et ne procède à aucune vérification de droit ni de jeton, permettant l’installation de fichiers ZIP distants contenant des webshells déguisés en plugins.

    Wordfence, 31 juillet 2025, en anglais
  • Vulnérabilités critiques dans les caméras Dahua

    Les chercheurs de Bitdefender ont identifié deux vulnérabilités critiques affectant les caméras de surveillance Dahua, référencées sous les codes :

    • CVE-2025-31700 : dépassement de mémoire dans le gestionnaire de requêtes ONVIF
    • CVE-2025-31701 : dépassement de mémoire dans le gestionnaire d’envoi de fichiers RPC

    Bien que similaires dans leur nature, ces failles concernent deux composants distincts du firmware. Ces vulnérabilités permettent à un attaquant distant, non authentifié, d’envoyer des paquets spécialement conçus, pouvant entraîner une interruption de service ou une exécution de code arbitraire à distance.

    The Hacker News, 31 juillet 2025, en anglais

À découvrir

  • Proton Authenticator : une 2FA libre et sécurisée

    Proton lance Proton Authenticator, une application gratuite d’authentification à deux facteurs (2FA), disponible sur Windows, macOS, Linux, Android et iOS. Elle permet de générer des codes 2FA chiffrés de bout en bout, d'y accéder même hors ligne, de synchroniser ses jetons 2FA, d’effectuer des sauvegardes, et d’importer/exporter ses jetons.

    Contrairement aux solutions concurrentes souvent propriétaires, dépendantes de la publicité et sans fonction d’exportation, Proton Authenticator se veut open source, sans traqueurs, ni verrouillage éditeur.

    Proton, 1 août 2025, en français