Une grave vulnérabilité de sécurité, identifiée sous le nom de CVE-2024-11205, a été découverte dans l’extension WPForms pour WordPress. Cette extension, utilisée par plus de 6 millions de sites web, ne mettait pas en œuvre des contrôles d’autorisation adéquats, permettant à des attaquants authentifiés ayant un accès de niveau abonné ou supérieur de rembourser des paiements Stripe et d’annuler des abonnements Stripe.

Produit	wpforms-lite
Date	12-12-2024 07:32:55
Informations	Tendance Correctif disponible

Résumé technique

La vulnérabilité découle de contrôles d’autorisation inadéquats dans les fonctions ajax_single_payment_refund() et ajax_single_payment_cancel() au sein de la classe SingleActionsHandler. Ces fonctions gèrent les remboursements de paiements Stripe et l’annulation des abonnements Stripe, mais n’appliquent pas correctement les contrôles sur les capacités des utilisateurs. De plus, bien qu’une protection par nonce soit implémentée, la valeur du nonce peut être obtenue par des attaquants authentifiés.

Les problèmes principaux incluent :

• Contrôles inadéquats : La fonction wpforms_is_admin_ajax() confirme les requêtes AJAX administratives mais n’effectue aucun contrôle d’autorisation.

• Fuite de Nonce : La protection par nonce peut être contournée par des attaquants qui obtiennent la valeur nécessaire.

• Absence de vérification des capacités : Il n’y a aucune vérification permettant de s’assurer que l’utilisateur dispose des privilèges appropriés pour effectuer ces opérations.

Recommandations

Mettre à jour immédiatement : Assurez-vous que WPForms est mis à jour vers la version 1.9.2.2 ou supérieure.
Vérifier les journaux : Contrôlez l’activité des paiements et des abonnements pour détecter toute action non autorisée.

[Callforaction-THREAT-Footer]