A vulnerability affecting the “Mobile Site Redirect” WordPress plugin (versions up to and including 1.2.1) has been disclosed (CVE‑2025‑9884). In short: insufficient Cross‑Site Request Forgery (CSRF) protection in the plugin can be abused to create persistent (stored) cross‑site scripting (XSS) payloads. Stored XSS in administrative or front‑end contexts is high risk: an attacker able to persist JavaScript into your site can execute browser‑side actions in the context of any visitor or administrative user who views the infected data.

J'écris en tant que professionnel de la sécurité basé à Hong Kong avec une expérience pratique dans la protection des sites WordPress. Voici un guide pratique : comment le risque fonctionne, des vérifications rapides pour déterminer l'exposition, des étapes de mitigation sûres, des conseils pour le nettoyage et la récupération, et des actions de durcissement à long terme. Je ne publierai pas de code d'exploitation ni d'instructions d'exploitation étape par étape ; ces conseils visent à aider les défenseurs à répondre de manière sûre et efficace.

TL;DR (actions rapides)

• Vérifiez si le plugin Redirection de site mobile est installé et si sa version est ≤ 1.2.1. Si oui, considérez-le comme vulnérable.
• Si vous ne pouvez pas immédiatement mettre à jour vers une version corrigée (aucune disponible au moment de l'écriture), désactivez ou supprimez le plugin.
• Si vous utilisez un WAF géré ou un service de patch virtuel, activez les règles qui bloquent les tentatives d'exploitation connues pour ce plugin.
• Scannez le site à la recherche de charges utiles XSS persistantes (articles, pages, widgets, options de plugin, entrées de redirection, champs de base de données).
• Changez les mots de passe des administrateurs, révoquez les sessions et activez l'authentification à deux facteurs pour les administrateurs.
• Suivez la liste de contrôle détaillée de confinement, de nettoyage et de durcissement ci-dessous.

Ce qu'est la vulnérabilité (en termes simples)

Deux problèmes distincts se combinent ici :

• CSRF (falsification de requêtes intersites): le plugin expose des actions qui manquent de protections anti-CSRF appropriées (par exemple, pas de nonce ou vérifications de capacité manquantes), permettant à un attaquant de tromper un utilisateur authentifié pour qu'il effectue une requête non désirée.
• XSS stocké (script intersite persistant): du JavaScript ou du HTML contrôlé par l'attaquant est stocké dans la base de données du site et exécuté lorsque d'autres utilisateurs visitent des pages ou des écrans d'administration qui rendent ces données.

La chaîne rapportée est CSRF → XSS stocké : un attaquant peut amener le plugin à stocker des entrées malveillantes de manière persistante. Cette entrée s'exécute plus tard lorsqu'elle est consultée, donnant potentiellement à l'attaquant un accès au niveau du navigateur aux actions administratives ou la capacité d'affecter les visiteurs du site.

Qui est à risque

• Tout site WordPress avec Mobile Site Redirect installé à la version 1.2.1 ou antérieure.
• Sites qui n'ont pas d'administrateurs actifs fréquents — le XSS stocké peut toujours affecter les visiteurs du front-end.
• Sites avec de nombreux utilisateurs, eCommerce ou données clients sensibles — l'impact et l'urgence sont plus élevés.

Comment confirmer si vous êtes affecté (vérifications sûres)

1. Liste des plugins

   Dashboard → Plugins → Installed Plugins. If “Mobile Site Redirect” is present and the installed version is 1.2.1 (or lower), assume vulnerability.

2. Vérification du système de fichiers (WP-CLI ou SFTP)

   Vérifiez /wp-content/plugins/mobile-site-redirect/ (le nom peut varier). Inspectez le readme du plugin ou l'en-tête du fichier principal du plugin pour la ligne de version. N'exécutez pas le PHP du plugin pendant l'inspection.

3. Recherchez dans la base de données des entrées suspectes (lecture seule)

   Look in wp_posts, wp_options, widget_* tables and any plugin‑specific option rows for inline

   Vérifiez ma commande

   0

   Sous-total

   Taxes et frais de port calculés à la caisse

   Passer à la caisse