Aperçu

Le 1er juin 2026, une vulnérabilité XSS stockée affectant le plugin Remplaçant de mots WordPress (versions ≤ 0.4) a été divulguée publiquement et a reçu le numéro CVE-2026-3620. Le problème est un XSS stocké authentifié, réservé aux administrateurs — ce qui signifie qu'un utilisateur avec des privilèges d'administrateur dans WordPress peut enregistrer une entrée malveillante qui est ensuite rendue sans échappement approprié, provoquant l'exécution de JavaScript dans le navigateur des visiteurs du site ou d'autres utilisateurs administratifs.

Bien que cette vulnérabilité nécessite un accès administrateur pour introduire la charge utile, les conséquences peuvent être graves : prise de contrôle persistante de compte, défiguration de site, installation de porte dérobée, vol de cookies/tokens, élévation de privilèges et mouvement latéral à l'intérieur du site. Le score de base CVSS rapporté est de 5.9 (moyen), mais le risque pratique dépend fortement de la capacité d'un attaquant à acquérir ou à contraindre un compte administrateur (ingénierie sociale, mots de passe réutilisés, appareils compromis, entrepreneur malveillant, etc.).

Ce guide résume comment la vulnérabilité fonctionne, les scénarios d'attaque réalistes, les indicateurs de détection, les étapes de confinement et d'atténuation (y compris les corrections temporaires), le durcissement à long terme et les conseils aux développeurs pour corriger la cause profonde.

Crédit : vulnérabilité divulguée dans un avis public (CVE-2026-3620). Recherche créditée à san6051 (COFFSec).

Qu'est-ce que le XSS stocké et pourquoi un vecteur “ administrateur authentifié ” est-il important ?

Le Cross-Site Scripting (XSS) stocké se produit lorsqu'un attaquant stocke un script malveillant dans des données côté serveur (base de données, table des options, publications, paramètres de plugin, etc.) et que ce script est ensuite livré à d'autres utilisateurs sans échappement ou assainissement appropriés. Étant donné que la charge utile est persistante, de nombreux visiteurs et utilisateurs peuvent être affectés au fil du temps.

Un qualificatif “ administrateur authentifié ” signifie que seuls les comptes avec des capacités d'administrateur peuvent enregistrer la charge utile malveillante. Cela réduit la surface d'attaque immédiate par rapport aux bogues non authentifiés, mais cela reste dangereux car :

• Les comptes administrateurs sont des cibles fréquentes via le phishing, le remplissage d'identifiants et l'ingénierie sociale.
• Les administrateurs peuvent créer du contenu et des données de site persistantes.
• Un attaquant peut contraindre un administrateur à coller ou importer des charges utiles, ou utiliser un administrateur compromis pour injecter directement des entrées malveillantes.
• Le XSS stocké qui se rend dans le tableau de bord administrateur peut immédiatement compromettre d'autres sessions administratives.

Même le XSS stocké “ réservé aux administrateurs ” peut conduire à une compromission totale du site lorsqu'il est combiné avec des techniques d'attaquants du monde réel.

Comment fonctionne la vulnérabilité du Remplaçant de mots (niveau élevé)

Le problème technique de base est simple :

1. Le plugin expose une interface utilisateur pour que les administrateurs définissent des règles de remplacement qui sont stockées dans la base de données.
2. Lorsque ces paramètres sont enregistrés, le plugin échoue à assainir ou à valider correctement le contenu de remplacement.
3. Lorsque le plugin rend ces valeurs stockées sur le front-end ou dans le tableau de bord admin, il affiche le contenu en HTML sans échapper, permettant l'exécution de JavaScript intégré.
4. Le script s'exécute avec l'origine du site, permettant des actions en tant que visiteur victime ou administrateur.

Les modèles dangereux typiques incluent :

• Stocker du HTML brut ou du texte non échappé et l'afficher directement (par exemple, echo $value;) au lieu d'utiliser esc_html(), esc_attr() ou wp_kses().
• Construire des chaînes de remplacement qui sont insérées dans le HTML de la page ou dans des attributs sans échapper correctement.
• Permettre aux gestionnaires d'événements ou aux URI javascript: d'être sauvegardés comme partie des entrées.

Scénarios d'attaque réalistes

• Compte administrateur malveillant : Un attaquant contrôlant un compte admin installe des entrées de remplacement qui injectent du JavaScript dans les pages et les tableaux de bord, permettant la création de nouveaux admins, des modifications de thème ou des abus de l'API REST.
• Admin compromis via phishing/reutilisation de credentials : Un attaquant trompe un administrateur pour qu'il colle ou sauvegarde des entrées de remplacement fournies par l'attaquant ou clique sur une URL d'importation contenant des charges utiles.
• Mauvaise utilisation par des tiers : Un entrepreneur ou une agence avec accès admin introduit du contenu non échappé.
• Pivot ciblé : Le XSS stocké s'exécute dans le tableau de bord admin et vole des jetons d'authentification ou des nonces, permettant d'autres actions.

Bien qu'une prise de contrôle à distance non authentifiée ne soit pas disponible uniquement par ce bug, l'ingénierie sociale et le compromis ciblé comblent souvent cette lacune.

Impact et objectifs typiques des attaquants

Une fois que le XSS stocké s'exécute, les attaquants visent généralement à :

• Voler des jetons de session et prendre le contrôle des comptes.
• Créer de nouveaux utilisateurs Administrateur ou élever les privilèges.
• Installer des portes dérobées persistantes (plugins malveillants, thèmes modifiés, téléchargements PHP).
• Rediriger les visiteurs vers des arnaques ou des téléchargements automatiques.
• Afficher du contenu frauduleux ou injecter du code de monétisation.
• Collecter des données clients à partir de formulaires, de commentaires ou de pages de commerce électronique.
• Passer aux panneaux d'hébergement ou aux API si des identifiants sont présents dans l'interface admin.

Contexte CVE et gravité

• Identifiant CVE : CVE-2026-3620
• Versions affectées : Plugin Word Replacer ≤ 0.4
• Type : Cross-Site Scripting (XSS) stocké
• Privilège requis : Administrateur
• État du correctif (au moment de la divulgation) : Aucun correctif officiel du plugin disponible
• CVSS de base : 5.9
• Crédit de recherche : san6051 (COFFSec)

Même avec un CVSS “moyen”, considérez cette vulnérabilité comme urgente pour les sites où les comptes admin sont à risque ou où les administrateurs acceptent des entrées de tiers.

Détection — indicateurs de compromission

Techniques de détection clés :

1. Rechercher dans la base de données des règles ou des entrées de remplacement suspectes :

   Rechercher des balises HTML (

   Vérifiez ma commande

   0

   Sous-total

   Taxes et frais de port calculés à la caisse

   Passer à la caisse