Je vous faisais part le 03 août dernier d'une faille de sécurité que j'avais découverte dans un CRM. Et bien j'ai eu une réponse officieuse aujourd'hui, me disant que la faille était désormais corrigée, et que le CRM en place, ne présentait plus cette vulnérabilité.

Je fais ni une ni deux, je me connecte sur le-dit CRM et refait un test ... Mon test fonctionne, le CRM est toujours vulnérable à la même attaque.

C'est tout de même incroyable que cet éditeur de CRM prétende avoir corrigé une faille sans même faire un test de validation, surtout que je leur avait livré un Proof Of Concept très détaillé pour faire le test.

Je respecterai ma parole en ne rendant publique cette vulnérabilité que le 4 septembre, mais ça me brûle les doigts de le faire dés aujourd'hui, cet éditeur se moque de ses clients et de ses utilisateurs ! Son nom est désormais gravé dans ma tête, et je garanti que je ferrai tout mon possible pour faire barrage aux produits de cet éditeur partout où j'en aurai le pouvoir.

Enfin, pour revenir à une discussion initiée par FredLynx, ni l'éditeur de CRM ni le fournisseur utilisant cet outil troué comme une passoire ne m'a remercié ...
Ils régleront ça à l'Américaine avec leurs armées d'avocats et de plaintes croisées j'imagine.

Un simple "Thank you" (Ben oui c'est des Américains) m'aurait largement suffit.
Quel métier ingrat que la recherche de faille ... :-(

Bah n'oubliez pas : Have fun !