Digitemis vous permet de piloter les entités de votre groupe et de vos partenaires (filiales, fournisseurs) grâce à notre équipe de professionnels qui vous assurent une sécurité sans faille et vous donnent les conseils les plus judicieux.
Digitemis est la solution complète pour vous mettre en conformité vis-à-vis de l’ensemble des référentiels et de la maintenir dans la durée (RGPD, CCPA, Sapin 2, LPM, NIS, PCI-DSS, ISO 27001, Solvency, Bâle…).
“Comprendre la protection des données personnelles dans les relations de sous-traitance“
Avec Digitemis, faites le choix d’un prestataire de confiance qualifié PASSI par l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI).
Les experts de nos 3 pôles (pentest, cybersécurité et conformité) actualisent quotidiennement leurs connaissances en matière de jurisprudence et de réglementation. Ils sont certifiés par les organismes gouvernementaux de référence. Notre objectif est de vous proposer des prestations toujours plus satisfaisantes.
Il y a peu, dans le cadre de recherches sur des plugins WordPress, notre pentester Vincent Fourcade a découvert une injection de code, côté client, dans un module du célèbre CMS. Celle-ci fut vérifiée et validée par les équipes de WPScan. Aujourd’hui, une CVE lui a été attribuée. L’occasion de revenir aujourd’hui sur la sécurité, au sens large, dans le CMS WordPress, que ce soit au niveau de la couche applicative, de la configuration du serveur ou du bureau. C’est parti !
Lors des tests d’intrusion, l’injection de code côté client est généralement plus aisée à découvrir qu’une injection côté serveur. Le nombre de paramètres dynamiques transitant du back au front, la difficulté d’échapper correctement à l’entrée et à la sortie et la multitude d’encodage liés à l’affichage peuvent être des vrais casse-têtes pour qui souhaite faire la chasse à la XSS. Le JavaScript malveillant semble ainsi avoir de beaux jours devant lui. Cependant, il n’est pas rare qu’à l’issu de l’audit, la criticité d’une telle injection découle directement de la configuration des cookies présents sur l’application. En effet, l’absence de l’attribut HttpOnly majore irrémédiablement les risques liés à ce type d’attaque. Néanmoins, cela signifie-t-il que la présence de cet attribut doive absolument amenuiser la criticité d’une injection ?
