Avis de sécurité urgent : XSS stocké dans les enquêtes QuestionPro (≤ 1.0) — Ce que les propriétaires de sites WordPress doivent faire maintenant

Résumé : Une vulnérabilité de script intersite stocké (CVE-2026-1901) affectant les versions du plugin WordPress QuestionPro Enquêtes ≤ 1.0 permet aux utilisateurs authentifiés de niveau contributeur+ de stocker du contenu malveillant via des attributs de shortcode. Cet avis explique le risque, les méthodes de détection, les atténuations immédiates, les corrections des développeurs et les actions de réponse aux incidents. Écrit avec la perspective d'un praticien de la sécurité de Hong Kong : pragmatique, direct et axé sur l'opérationnel.

Auteur : Expert en sécurité de Hong Kong  |  Date : 2026-02-13

Table des matières

• Résumé rapide et aperçu des risques
• Comment cette vulnérabilité fonctionne (niveau élevé, pas de code d'exploitation)
• Qui est à risque et scénarios d'impact réalistes
• Détection : signes de compromission et requêtes à exécuter
• Atténuations immédiates pour les propriétaires de sites WordPress
• Conseils aux développeurs : corrections sécurisées et meilleures pratiques de désinfection
• Conseils WAF / patching virtuel (indépendant du fournisseur)
• Renforcement opérationnel et contrôles à long terme
• Liste de contrôle de réponse aux incidents et récupération
• Questions fréquemment posées
• Liste de contrôle recommandée (référence rapide)
• Conclusion

Résumé rapide et aperçu des risques

• Vulnérabilité : XSS stocké authentifié (Contributeur+) via des attributs de shortcode dans le plugin QuestionPro Enquêtes (≤ 1.0). CVE-2026-1901.
• Gravité : Moyen (CVSS ~6.5 rapporté). Le contexte est important : l'accès au niveau contributeur est courant sur les sites multi-auteurs.
• Exigences d'exploitation : Un compte authentifié avec des privilèges de Contributeur ou supérieurs qui peut créer ou modifier du contenu contenant des shortcodes.
• Impact : Le XSS stocké peut exécuter des scripts dans les navigateurs des visiteurs ou des administrateurs — le vol de session, le redressement de l'interface utilisateur ou des prises de contrôle de privilèges supérieurs sont possibles si un admin/éditeur consulte le contenu compromis.
• Statut de correction à la divulgation : Aucune mise à jour officielle du plugin n'était disponible au moment de la divulgation. Appliquez les atténuations ci-dessous jusqu'à ce qu'un correctif du fournisseur soit publié.

Comment cette vulnérabilité fonctionne (aperçu — pas de détails d'exploitation)

Les shortcodes WordPress acceptent des attributs et renvoient du HTML pour affichage. Si un plugin affiche des valeurs d'attribut directement dans la page sans une sanitation appropriée ou un échappement contextuel, un utilisateur authentifié peut insérer un script ou du HTML dans ces attributs. Puisque le contenu est stocké (contenu de l'article, postmeta ou options de plugin), cela devient un XSS stocké : il s'exécute plus tard lorsque la page est rendue.

Points clés :

• L'attaquant doit être authentifié en tant que Contributeur ou supérieur sur le site cible.
• Le XSS stocké est persistant et peut affecter plusieurs utilisateurs au fil du temps.
• La vulnérabilité provient généralement de l'absence d'esc_attr(), esc_html(), wp_kses() ou d'un échappement similaire à la sortie.

Qui est à risque et scénarios d'impact réalistes

Sites à risque :

• Tout site WordPress avec QuestionPro Surveys installé et actif (≤ 1.0).
• Sites qui permettent des comptes de niveau contributeur (auteurs invités, contributeurs communautaires).
• Sites où les éditeurs ou les administrateurs prévisualisent les soumissions des contributeurs dans l'interface admin.

Scénarios réalistes :

1. A contributor creates a post containing a survey shortcode with malicious attributes. An administrator previews the post in the admin interface — the script runs in the admin’s browser, enabling session theft or malicious actions.
2. Un contributeur met à jour le contenu des widgets, le postmeta ou les paramètres de sondage qui sont affichés sur les pages visitées par les éditeurs/admins, provoquant l'exécution de scripts lorsque ces pages sont consultées.
3. L'ingénierie sociale est utilisée pour attirer un éditeur/admin à prévisualiser une page compromise, déclenchant un impact de privilège supérieur.

Détection : signes que votre site peut être compromis

Proactively search for suspicious content. Indicators include occurrences of