| Nom du plugin | Constructeur de pages Bold |
|---|---|
| Type de vulnérabilité | Script intersite (XSS) |
| Numéro CVE | CVE-2025-66057 |
| Urgence | Faible |
| Date de publication CVE | 2025-11-29 |
| URL source | CVE-2025-66057 |
Urgent : Constructeur de pages Bold (≤ 5.5.2) — XSS stocké (CVE-2025-66057)
Un chercheur en sécurité a révélé une vulnérabilité de type Cross-Site Scripting (XSS) stockée affectant les versions du Constructeur de pages Bold ≤ 5.5.2 (CVE-2025-66057). Un utilisateur à faible privilège (niveau Contributeur) peut injecter du HTML/JavaScript qui est stocké et exécuté plus tard dans les navigateurs des visiteurs — y compris des administrateurs. Bien que des correctifs du fournisseur soient disponibles dans la version 5.5.3, de nombreux sites restent non corrigés ou ne peuvent pas mettre à jour immédiatement en raison de préoccupations de compatibilité. Cet avis explique le risque, la cause profonde, les méthodes de détection, la containment, les atténuations techniques (y compris des règles WAF et des exemples de patching virtuel), et les étapes de récupération de manière claire et pratique.
Résumé exécutif — TL;DR
- Vulnérabilité : XSS stocké dans le Constructeur de pages Bold ≤ 5.5.2 (CVE-2025-66057).
- Impact : Injection arbitraire de JavaScript/HTML — vol de session possible, prise de contrôle de compte, redirections involontaires, injection de contenu malveillant, dommages SEO.
- Privilège requis : Contributeur (niveau bas) ; commun dans de nombreux sites WordPress.
- CVSS : 6.5 (moyen). Les étiquettes ne racontent pas toute l'histoire — le risque contextuel compte.
- Action immédiate : Mettez à jour vers 5.5.3 ou une version ultérieure dès que possible. Si vous ne pouvez pas mettre à jour immédiatement, appliquez les atténuations ci-dessous (restreindre l'édition, scanner le contenu, appliquer WAF/patching virtuel).
Pourquoi ce XSS est important même s'il est “de faible priorité”
Les scores CVSS sont un outil de triage, mais le XSS stocké mérite de l'attention car :
- Les comptes de niveau Contributeur sont courants (auteurs invités, clients, éditeurs). Ces comptes peuvent être abusés pour stocker des charges utiles persistantes.
- Le XSS stocké est persistant : les charges utiles restent dans la base de données et sont servies à quiconque charge la page affectée, y compris les administrateurs.
- Les attaquants peuvent escalader via le vol de cookies, le détournement de session, ou en injectant un contenu destructeur supplémentaire tel que des redirections ou des scripts de cryptomining.
- Les constructeurs de pages et les vues administratives personnalisées augmentent la surface de risque : les écrans d'administration qui rendent le contenu du constructeur peuvent déclencher des charges utiles lorsque les éditeurs ou les administrateurs les ouvrent.
En résumé : prenez le XSS stocké au sérieux et remédiez rapidement.
Qu'est-ce qui a causé la vulnérabilité (aperçu technique)
Le XSS stocké dans les constructeurs de pages provient généralement d'une ou plusieurs fautes :
- Encodage de sortie non sécurisé — les propriétés fournies par l'utilisateur (attributs d'élément, blocs HTML personnalisés) sont renvoyées dans les pages sans échappement approprié.
- Éléments HTML bruts autorisés pour des rôles à faible confiance — éléments qui permettent intentionnellement HTML/JS mais ne sont pas restreints aux utilisateurs de confiance.
- Dépendance uniquement à la validation côté client — aucune application côté serveur.
- Filtrage insuffisant des attributs de gestionnaire d'événements (onload, onclick), URIs javascript: ou charges utiles encodées (base64, hex, unicode).
L'avis public suggère qu'un Contributeur pourrait insérer des charges utiles qui étaient rendues non assainies aux visiteurs, indiquant un assainissement de sortie manquant ou insuffisant.
Qui est à risque ?
- Sites exécutant Bold Page Builder ≤ 5.5.2.
- Sites qui permettent aux utilisateurs non de confiance (Contributeurs, Auteurs) de modifier le contenu.
- Sites qui acceptent des soumissions stockées (contenu importé, contenu stocké par plugin) qui sont ensuite rendues.
- Réseaux multisites avec de nombreux comptes à faible privilège.
Si votre site WordPress utilise Bold Page Builder, supposez un risque jusqu'à ce que vous vérifiiez le contraire.
Liste de contrôle d'atténuation immédiate (prochaines 60–120 minutes)
- Confirmez la version du plugin :
- Tableau de bord → Plugins → Bold Page Builder → vérifier la version.
- Ou WP-CLI :
wp plugin get bold-page-builder --field=version
- Si la version ≤ 5.5.2, prévoyez de mettre à jour vers 5.5.3 immédiatement. Si vous ne pouvez pas mettre à jour tout de suite (tests de compatibilité requis), procédez avec les atténuations ci-dessous.
- Restreindre l'édition :
- Révoquer temporairement les privilèges d'édition des Contributeurs/Auteurs jusqu'à ce que le correctif soit appliqué.
- Désactiver ou restreindre tout compte non de confiance pouvant modifier le contenu.
- Activer WAF / correctif virtuel :
- Si vous avez un WAF (hébergé ou appareil), activez les règles pour bloquer les balises de script, les gestionnaires d'événements et les URIs de données/javascript contre les POST qui créent du contenu.
- Scannez pour du contenu injecté :
