Le propriétaire d’OpenCart se met à hurler après qu’un chercheur a révélé une grave vulnérabilité

Le propriétaire du système de gestion de boutique en ligne OpenCart a répondu avec hostilité à un chercheur en sécurité révélant une vulnérabilité dans le produit. Le testeur d’intrusion Mattia Brollo a apporté une vulnérabilité d’injection de code statique à l’attention d’OpenCart en ouvrant une question sur GitHub le 14 octobre, seulement pour être accueilli par de nombreuses réponses dédaigneuses et offensantes de la part de Daniel Kerr, le propriétaire d’OpenCart. Avant l’implication de Kerr, Brollo affirme avoir passé près d’un mois à essayer de joindre OpenCart par voie officielle, en utilisant ses adresses e-mail de support et de webmestre, ainsi que le forum officiel d’OpenCart, sans recevoir de réponse. Le 10 novembre, la National Vulnerability Database a reconnu officiellement la découverte de Brollo, que Kerr décrira plus tard comme une «non-vulnérabilité», et qui est maintenant suivie comme CVE-2023-47444 – une question presque critique avec un score de gravité de 8,8 sur l’échelle CVSS 3. Comme dernier recours pour corriger le problème, Brollo dit qu’il a à nouveau essayé de contacter les administrateurs via les forums d’OpenCart. Un jour plus tard, Kerr a donné sa première réponse par e-mail, disant: «Ur a fucking tim.e waster!», Selon une capture d’écran que Brollo a partagée dans son blog de divulgation, publié trois jours après l’e-mail de Kerr.