Scanner de Vulnérabilités et Surface d'Attaque CMS
Auditez votre WordPress, Drupal ou CMS headless contre l'énumération d'utilisateurs sur l'API REST, XML-RPC actif et fuites de version.
Présentation & enjeux
Les systèmes de gestion de contenu (CMS) propulsent plus de 70% du web, constituant la cible prioritaire des cyberattaques automatisées.
Les installations non sécurisées exposent souvent les comptes utilisateurs via l'API REST (/wp-json/wp/v2/users), autorisent des attaques par force brute via XML-RPC et affichent des versions logicielles exactes.
Vecteurs d'attaque critiques atténués par le renforcement CMS
Blocage de l'Énumération d'Utilisateurs (API REST)
L'API REST publique divulgue les identifiants d'auteurs, fournissant aux attaquants la moitié des informations nécessaires aux attaques par force brute.
Atténuation des Attaques par Force Brute via XML-RPC
Le fichier /xmlrpc.php permet aux attaquants de tester des centaines de mots de passe en une seule requête HTTP via system.multicall.
Masquage de Version contre les Failles Connues
La diffusion de la version exacte dans les balises generator et les scripts permet aux outils automatisés de cibler des vulnérabilités connues.
Directives Nginx et Règles WAF Cloudflare
Bloquez l'accès public à XML-RPC, l'énumération des utilisateurs et les fichiers d'installation :
location = /xmlrpc.php { deny all; return 403; }
location ~* ^/wp-json/wp/v2/users { deny all; return 403; }
location ~* /(readme\.html|license\.txt) { deny all; return 404; }