Sommaire
De nombreux sites WordPress sont actuellement exposés à des failles de sécurité majeures découvertes dans trois plugins populaires. Ces vulnérabilités, notamment deux notées 8,8 et 9,8 sur l’échelle CVSS (système de scoring standard allant de 0 à 10), nécessitent une mise à jour immédiate.
Un score supérieur à 9,0 indique une vulnérabilité critique nécessitant un correctif urgent.
Faille critique dans Contact Form Entries : 9,8/10
Le plugin « Database for Contact Form 7, WPForms, Elementor Forms » présente une vulnérabilité d’injection d’objets PHP particulièrement dangereuse. Cette faille permet à des attaquants non authentifiés d’exploiter le système sans avoir besoin de se connecter au site.
Mécanisme d’exploitation
L’attaque exploite la désérialisation d’objets PHP non fiables. La vulnérabilité devient particulièrement dangereuse lorsque Contact Form 7 est également installé sur le même site. Cette combinaison déclenche une chaîne POP (Property Oriented Programming) permettant :
- Suppression de fichiers arbitraires,
- Déni de service complet,
- Exécution de code à distance,
- Compromission du fichier wp-config.php.
Sites concernés et solution
- Versions vulnérables : toutes les versions jusqu’à 1.4.3 incluse,
- Solution : mise à jour vers la version 1.4.5 minimum,
- Urgence : critique – mise à jour immédiate recommandée.
Gestionnaires de fichiers : 1,3 million de sites vulnérables
Trois plugins de gestion de fichiers utilisés par plus de 1,3 million de sites WordPress présentent une vulnérabilité critique de suppression arbitraire de fichiers. Cette faille permet à des attaquants non authentifiés d’effacer des données essentielles du serveur.
Plugins concernés par la faille elFinder
- WordPress File Manager : 1 million d’installations.
- Advanced File Manager : plus de 200 000 installations.
- File Manager Pro – Filester : plus de 100 000 installations.
Mécanisme d’exploitation Directory Traversal
La vulnérabilité provient de versions obsolètes d’elFinder (2.1.64 et antérieures). Les attaquants exploitent une faille de Directory Traversal permettant de manipuler les chemins d’accès aux fichiers.
En envoyant des requêtes malveillantes contenant des séquences comme ../../../../, un attaquant peut :
- Accéder à des répertoires extérieurs à la zone autorisée,
- Supprimer des fichiers arbitraires sur le serveur,
- Compromettre l’intégrité du site WordPress.
Conditions d’exploitation
Bien que la vulnérabilité permette une attaque sans authentification, l’exploitation nécessite que le gestionnaire de fichiers soit accessible au public. Certains plugins exigent au minimum un accès abonné (niveau le plus bas), ce qui limite partiellement les risques.
Injection SQL dans Tutor LMS Pro : 8,8/10
Le plugin Tutor LMS Pro, solution de formation en ligne très répandue, souffre d’une vulnérabilité d’injection SQL temporelle. Bien que nécessitant un accès authentifié, cette faille permet l’extraction d’informations sensibles de la base de données.
Détails techniques de la faille
La vulnérabilité réside dans la fonction get_submitted_assignments() via le paramètre « order ». L’échappement insuffisant des données utilisateur permet aux attaquants d’injecter du code SQL malveillant.
L’attaque par injection temporelle fonctionne en mesurant les temps de réponse de la base de données pour extraire progressivement les informations stockées.
Correctif disponible
- Versions vulnérables : toutes les versions jusqu’à 3.7.0 incluse.
- Solution : mise à jour vers la version 3.7.1 ou supérieure.
- Impact : exposition des données sensibles des utilisateurs.
Actions immédiates
Face à ces trois vulnérabilités, une réaction rapide s’impose. Voici les étapes à suivre pour sécuriser vos sites :
Audit de vos plugins installés
Vérifiez si ces plugins sont présents sur vos sites WordPress :
- Gestionnaires de fichiers (WordPress File Manager, Advanced File Manager et File Manager Pro),
- Database for Contact Form 7/WPForms/Elementor Forms (Contact Form Entries),
- Tutor LMS Pro.
Procédure de mise à jour sécurisée
- Sauvegarde complète avant toute manipulation,
- Mise à jour via l’interface d’administration WordPress,
- Test de fonctionnement après mise à jour,
- Surveillance des logs pour détecter d’éventuelles tentatives d’exploitation.
La multiplication des vulnérabilités dans l’écosystème WordPress nécessite une vigilance constante. Optez pour des plugins régulièrement mis à jour.
