Le propriétaire d’OpenCart s’emporte après qu’un chercheur ait révélé une grave vulnérabilité

Le propriétaire du système de gestion de boutique en ligne OpenCart a réagi avec hostilité à la divulgation par un chercheur en sécurité d’une vulnérabilité dans le produit. Le testeur d’intrusion Mattia Brollo a apporté une vulnérabilité d’injection de code statique à l’attention d’OpenCart en ouvrant une question sur GitHub le 14 octobre, seulement pour se voir accueilli par de nombreuses réponses dédaigneuses et offensantes de la part de Daniel Kerr, propriétaire d’OpenCart. Avant l’implication de Kerr, Brollo affirme avoir passé près d’un mois à essayer de joindre OpenCart par voie officielle, comme ses e-mails de support et de webmaster, et le forum officiel d’OpenCart, sans recevoir de réponse. Le 10 novembre, la base de données nationale des vulnérabilités a officiellement reconnu la découverte de Brollo, que Kerr appellerait plus tard une «non vulnérabilité», et qui est maintenant suivie sous CVE-2023-47444 – une vulnérabilité presque critique avec un score de sévérité de 8,8 sur l’échelle CVSS 3. Comme dernier recours pour corriger le problème, Brollo dit qu’il a à nouveau essayé de contacter les administrateurs via les forums d’OpenCart. Un jour plus tard, Kerr a donné sa première réponse par e-mail en disant: «Ur une putain de perte de temps!», Selon une capture d’écran partagée par Brollo dans son blog de divulgation, qui a été publié trois jours après l’e-mail de Kerr.