Une vulnérabilité critique a été identifiée dans le plugin Multiple Shipping Address for WooCommerce, un outil utilisé par les boutiques en ligne pour gérer les expéditions vers plusieurs destinations. Cette faille pourrait permettre à des individus malveillants de manipuler la base de données du site sans nécessiter d’authentification, exposant ou altérant ainsi des informations sensibles.

Produit	multiple-shipping-address-woocommerce
Date	30/05/2025 13:17:43
Informations	Tendance Correctif disponible

Résumé technique

Dans les versions du plugin antérieures à la 2.0, plusieurs paramètres des points de terminaison (endpoints) AJAX n’étaient pas correctement assainis ou échappés avant d’être intégrés dans les requêtes SQL. En particulier, le point de terminaison action=ocwma_choice_address est vulnérable et accessible même par des utilisateurs non authentifiés. Cela ouvre la porte à des attaques de type injection SQL non authentifiée (SQLi).

Un attaquant peut construire une requête POST malveillante vers /wp-admin/admin-ajax.php en utilisant une charge utile (payload) telle que :

POST /wp-admin/admin-ajax.php HTTP/1.1
Host: [target]
Content-Type: application/x-www-form-urlencoded

action=ocwma_choice_address&sid=3+AND+(SELECT+1946+FROM+(SELECT(SLEEP(7)))zsme)

Cela provoque une pause de 7 secondes dans le backend, démontrant la présence d’une injection SQL aveugle basée sur le temps. La vulnérabilité est classée sous la référence CWE-89 (Neutralisation incorrecte des éléments spéciaux utilisés dans une commande SQL) et reçoit un score de 8.6 (Élevé) selon l’échelle CVSS 3.1, en raison de l’absence d’authentification requise, de la faible complexité et de l’impact élevé sur la confidentialité, l’intégrité et la disponibilité.

Recommandations

• Mise à jour immédiate : Effectuez la mise à niveau du plugin Multiple Shipping Address Woocommerce vers la version 2.0 ou ultérieure, dans laquelle le problème a été résolu.

• Limiter l’accès : Désactivez temporairement les actions AJAX pour les utilisateurs non authentifiés, si possible.

• Surveillance et audit : Vérifiez les journaux (logs) pour détecter toute activité anormale sur les requêtes AJAX, en particulier vers admin-ajax.php.

• Pare-feu d’application Web (WAF) : Activez ou configurez un WAF pour détecter et bloquer les tentatives d’injection SQL.

[Callforaction-THREAT-Footer]