Previous Story
Méfiez-vous du cache des sources des articles de Wikipedia
La rédaction de zataz a pu constater une faille de type XSS (Cross-Site Scripting) sur le site gérant le cache des sources sur les articles de Wikipedia. Prudence, une action pirate peut s’y cacher.
Mise à jour 10/02/2016 : Nous venons de recevoir un courriel nous confirmant que la faille avait été corrigée le 1er juillet 2015. Autant dire, vite et bien.
En effet, lors de la création ou de la modification d’un article Wikipedia, des sources sont demandées impérativement afin de permettre à l’équipe de Wikipedia de vérifier le contenu des articles. Mais ces sources ont un autre rôle, celui de pouvoir aider le lecteur à vérifier ce qu’il est en train de lire.
Afin de conserver ces sources, Wikipedia s’assure de faire une « copie » (un cache) de la source et de la rendre visible à tout le monde. Une solution qui permet la consultation des dites sources, même si elles ont été supprimées. Il a été découvert une faille de type XSS dans le site gérant ces caches.
Les XSS sont classés comme la 3ème plaie des applications Web par l’OWASP.
Via les pages Wikipedia, il est donc possible d’avoir accès aux sources utilisées par les auteurs de l’article, ainsi qu’à leur cache (via l’onglet « [archives] » disponible à côté des liens, NDLR). Après la modification de la variable « url » présente dans le lien, un malveillant peut injecter du code Javascript. Une « simple » redirection pourrait piéger les visiteurs Wikipedia. Ces derniers se retrouveraient alors redirigés vers des sites malveillants (phishing, Java Drive By, etc).
Wikiwix, en charge de cette sauvegarde, a été contacté par un protocole d’alerte zataz (n’50924). En attendant une correction qui devrait être rapide [Mise à jour : elle l’aura été en quelques heures, NDR], il est conseillé de regarder à deux fois les liens proposés. (Conslight)
