Le propriétaire d’OpenCart s’emporte après qu’un chercheur a révélé une grave vulnérabilité

Le propriétaire du système de gestion de boutiques en ligne OpenCart a réagi avec hostilité à un chercheur en sécurité révélant une vulnérabilité dans le produit. Le testeur d’intrusion Mattia Brollo a apporté une vulnérabilité d’injection de code statique à l’attention d’OpenCart en ouvrant une question sur GitHub le 14 octobre, seulement pour être accueilli par de nombreuses réponses dédaigneuses et offensantes de la part de Daniel Kerr, le propriétaire d’OpenCart. Avant l’implication de Kerr, Brollo affirme avoir passé près d’un mois à essayer de contacter OpenCart via ses canaux officiels, tels que ses e-mails de support et de webmaster, et le forum officiel d’OpenCart, sans recevoir de réponse. Le 10 novembre, la base de données nationale des vulnérabilités a reconnu officiellement la découverte de Brollo, que Kerr qualifierait plus tard de «non vulnérabilité», et qui est maintenant suivie sous le numéro CVE-2023-47444 – une question presque critique classée avec un score de gravité de 8,8 sur l’échelle CVSS 3. Comme dernier recours pour corriger la question, Brollo dit qu’il a de nouveau essayé de contacter les administrateurs via les forums d’OpenCart. Un jour plus tard, Kerr a donné sa première réponse par e-mail en disant: «Ur a fucking tim.e waster!», Selon une capture d’écran partagée par Brollo dans son blog de divulgation, publié trois jours après l’e-mail de Kerr.