Vulnérabilité sur une extension WordPress

Date de publication :

Une vulnérabilité a été découverte dans Code Snippets, une extension WordPress permettant la gestion de snippets (fragments de code) PHP. Elle peut permettre à un attaquant d’effectuer une attaque de type CSRF (cross-site request forgery).

CVE-2020-8417 [Score CVSS v3 : 8.8] : L’extension Code Snippets avant la version 2.14.0 peut permettre une attaque de type CSRF à cause d’une absence de protection contre ce type d’attaque dans la fonction Import. En cas d’exploitation réussie, un attaquant distant pourrait injecter du code malicieux dans un site, créer un compte ayant des droits administratifs ou exfiltrer des données sensibles.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Exécution de code arbitraire
    Élévation de privilèges
    Exfiltration de données

Criticité

    Score CVSS v3 : 8.8

Existence d’un code d’exploitation

    Un PoC est disponible publiquement

Composants vulnérables

    Code Snippets versions antérieures à la 2.14.0

CVE

     CVE-2020-8417

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour Code Snippets à la version 2.14.0 ou supérieure

Solution de contournement

  • Aucune solution de contournement n’est disponible

Liens