| Nom du plugin | Collant |
|---|---|
| Type de vulnérabilité | Script intersite (XSS) |
| Numéro CVE | CVE-2026-6397 |
| Urgence | Faible |
| Date de publication CVE | 2026-05-20 |
| URL source | CVE-2026-6397 |
Urgent : CVE-2026-6397 — XSS stocké dans le plugin Collant (<= 2.5.6)
En tant qu'expert en sécurité de Hong Kong parlant franchement : il s'agit d'un problème de script intersite (XSS) stocké (persistant) dans le plugin Collant jusqu'à la version 2.5.6. Un attaquant ayant un accès créateur/contributeur peut enregistrer du HTML/JavaScript dans le magasin de données du plugin. Ce payload peut ensuite s'exécuter dans le navigateur d'un utilisateur privilégié ou d'un visiteur du site et effectuer des actions telles que le vol de session, des requêtes non autorisées, la falsification de contenu ou un compromis supplémentaire du site.
Ce post explique la vulnérabilité, les chemins d'exploitation réalistes, les étapes de détection et les atténuations immédiates et à long terme. Les conseils sont pratiques et destinés aux propriétaires de sites, aux administrateurs et aux développeurs responsables des sites WordPress dans des environnements de production.
Table des matières
- Résumé technique rapide
- Qu'est-ce que le XSS stocké et pourquoi est-ce dangereux
- Scénarios d'exploitation dont vous devriez vous inquiéter
- Indicateurs de compromission (IoCs) et comment rechercher du contenu injecté
- Étapes d'atténuation immédiates (stopper l'hémorragie)
- Liste de contrôle de récupération et de nettoyage
- Renforcement des rôles de contributeur et autres rôles à faible privilège
- Stratégies de détection et de prévention pour l'avenir
- Liste de contrôle pratique rapide (copier-coller)
- Dernières réflexions
Résumé technique rapide
- Le plugin Collant (<= 2.5.6) contient une vulnérabilité XSS stockée permettant à un utilisateur avec des privilèges de Contributeur de sauvegarder du JavaScript/HTML qui est ensuite rendu sans échappement dans les contextes administratifs ou front-end.
- Le XSS stocké signifie que le payload malveillant est persistant dans la base de données et s'exécutera lorsqu'il sera rendu ; il ne nécessite pas que l'attaquant le déclenche plus tard.
- L'exploitation nécessite qu'un utilisateur privilégié voie ou interagisse avec le contenu rendu (administrateur/éditeur) ou un visiteur du site, selon l'endroit où le plugin affiche le contenu stocké.
- Divulgation publique : CVE-2026-6397 (divulgué le 19 mai 2026). Si un correctif officiel est publié, mettez à jour immédiatement. Sinon, suivez les atténuations ci-dessous.
Qu'est-ce que le XSS stocké, et pourquoi devriez-vous vous en soucier
Le cross-site scripting (XSS) est une primitive d'injection où un attaquant fait exécuter un script dans le navigateur d'un autre utilisateur. Le XSS stocké est particulièrement dangereux car le contenu malveillant est conservé sur le serveur et s'exécutera lorsque quelqu'un visualisera ce contenu.
Impacts pratiques :
- L'exécution de scripts dans le navigateur d'un utilisateur privilégié peut entraîner le vol de cookies de session, la fuite de jetons ou des actions effectuées via les identifiants de la victime (appels d'API REST, modification des paramètres, création de comptes).
- Le XSS stocké est souvent la première étape : prise de contrôle initiale → élévation de privilèges → installation de portes dérobées → compromission persistante.
- Dommages au SEO et à la réputation si les utilisateurs sont redirigés ou si du contenu malveillant est servi publiquement.
