XSS stocké non authentifié dans le thème Houzez (≤ 4.1.6) via téléchargement SVG — Ce que les propriétaires de WordPress doivent faire maintenant

Par un expert en sécurité WordPress de Hong Kong — 2025-11-27

Une vulnérabilité récemment divulguée affectant le thème WordPress Houzez (versions jusqu'à et y compris 4.1.6) permet aux attaquants non authentifiés de télécharger des fichiers SVG malveillants qui sont stockés et ensuite rendus, permettant un script intersite persistant (XSS stocké). Le problème a été attribué au CVE-2025-9163 et a un score de base CVSS de 7.1 (Moyen). Un correctif a été publié dans Houzez 4.1.7, mais de nombreux sites fonctionnent encore avec des versions antérieures et restent exposés.

Cet article explique, en termes techniques clairs et avec des étapes pratiques, comment la vulnérabilité fonctionne, les véritables risques pour votre site et vos utilisateurs, et ce qu'il faut faire immédiatement et à long terme. Si vous gérez des sites WordPress utilisant Houzez ou tout site qui accepte des téléchargements SVG d'utilisateurs non fiables, lisez et agissez rapidement.

Résumé rapide (pour les propriétaires de sites pressés par le temps)

• Vulnérabilité : XSS stocké non authentifié via téléchargement de fichiers SVG dans le thème Houzez ≤ 4.1.6
• CVE : CVE-2025-9163
• Gravité : Moyenne (CVSS 7.1)
• Impact : XSS persistant — les attaquants peuvent injecter du JavaScript exécuté chaque fois que le SVG téléchargé est rendu. Les résultats potentiels incluent le détournement de session, l'injection de contenu, les redirections et les portes dérobées.
• Corrigé dans : Houzez 4.1.7 — mettez à jour immédiatement si possible.
• Atténuations immédiates si vous ne pouvez pas mettre à jour tout de suite :
  • Désactivez les téléchargements SVG ou limitez les téléchargements aux rôles de confiance et authentifiés.
  • Appliquez une désinfection SVG côté serveur ou convertissez les téléchargements SVG en images raster.
  • Déployez des règles ciblées sur votre WAF ou serveur pour bloquer les téléchargements SVG suspects et les attributs de script en ligne.
  • Renforcez la politique de sécurité du contenu et les en-têtes associés pour réduire l'impact.
  • Scannez les téléchargements et la base de données pour des fichiers ou charges utiles SVG suspects et supprimez-les.

Comment la vulnérabilité fonctionne (explication technique)

SVG (Scalable Vector Graphics) is an XML-based image format that supports shapes, styles and script execution via embedded JavaScript. If an application accepts and stores SVG files and later outputs their content in a way the browser interprets as inline markup (for example, embedding SVG markup directly into pages or serving it with a content type that allows inline rendering), an attacker can include executable JavaScript inside the SVG. When another user or an administrator views the page, the script runs in the site’s origin context, causing a stored XSS condition.

Dans ce problème spécifique :

• Le thème permettait le téléchargement de fichiers SVG sans désinfection ou validation adéquates.
• Uploaded SVGs could contain JavaScript, inline event attributes (onload, onclick, etc.) or
  Vérifiez ma commande

  0

  Sous-total

  Taxes et frais de port calculés à la caisse

  Passer à la caisse