Résumé

Une vulnérabilité de script intersite stocké (XSS) affectant les versions de Constructeur de pages WPBakery jusqu'à et y compris 8.6 a été publiée sous le nom de CVE-2025-10006. Un utilisateur authentifié avec des privilèges de contributeur (ou supérieurs) peut être en mesure d'injecter du HTML/JavaScript qui est persistant par le plugin et exécuté plus tard lorsque le contenu est rendu—soit sur le site public, soit dans l'interface admin.

Bien que les contributeurs aient des privilèges inférieurs par conception, le XSS stocké dans un constructeur de pages est grave car les scripts peuvent cibler les administrateurs ou d'autres utilisateurs ayant des privilèges plus élevés qui visualisent le contenu. Les impacts possibles incluent le vol de session, l'escalade de privilèges, des portes dérobées automatisées et du spam SEO persistant. Le fournisseur a corrigé le problème dans la version 8.7. Cet article explique les scénarios de risque, les étapes de détection et de confinement, et les atténuations pratiques.

Qui est affecté ?

• Sites WordPress exécutant la version 8.6 ou antérieure de Constructeur de pages WPBakery.
• Sites qui permettent aux contributeurs (ou supérieurs) de créer/modifier du contenu rendu via des éléments WPBakery.
• Sites sans contrôles compensatoires tels qu'un WAF, des politiques de contenu strictes ou un durcissement des rôles.

Si vous êtes déjà sur 8.7 ou une version plus récente, le correctif du fournisseur est appliqué. Si vous ne pouvez pas appliquer le correctif immédiatement (raisons de compatibilité, exigences de mise en scène), mettez en œuvre rapidement les atténuations ci-dessous.

Quelle est exactement la vulnérabilité ?

Brève explication

• Type : Script intersite stocké (XSS)
• Privilège requis : Contributeur (authentifié)
• CVE : CVE‑2025‑10006
• Affecté : Constructeur de pages WPBakery ≤ 8.6
• Corrigé dans : 8.7

Contexte technique (niveau élevé)

Le constructeur de pages WPBakery permet aux utilisateurs de créer des éléments via des codes courts et des extraits HTML. Dans ce cas, les entrées des contributeurs peuvent être persistées dans le contenu des publications ou les métadonnées gérées par le plugin sans une désinfection ou un échappement contextuel suffisant. Lorsqu'elles sont rendues (aperçu de la publication, éditeur admin ou page publique), les navigateurs peuvent exécuter des scripts intégrés. La nature stockée signifie que les charges utiles persistent et peuvent se déclencher chaque fois que le contenu est visualisé.

Aucun code d'exploitation n'est publié ici ; l'intention est d'expliquer le risque et les mesures défensives.

Pourquoi cela importe — impact dans le monde réel

• Compromission de l'administrateur : Si un administrateur prévisualise ou édite une page compromise et qu'un script s'exécute, l'attaquant peut tenter de voler des sessions, d'effectuer des actions administratives par CSRF ou d'autres pivots.
• Compromission persistante du site : Le XSS stocké peut être abusé pour injecter des portes dérobées, créer des utilisateurs administrateurs ou implanter du code qui récupère d'autres charges utiles.
• Dommages à la réputation et au SEO : Le spam caché, les redirections ou les pages de phishing nuisent aux classements et à la confiance des utilisateurs.
• Vol de données : Les données des visiteurs provenant de formulaires ou d'analyses peuvent être exfiltrées par des scripts injectés.

Les numéros CVSS ne capturent pas toujours l'exposition dans le monde réel ; le risque dépend du flux de travail et de la fréquence à laquelle les administrateurs interagissent avec le contenu des contributeurs.

Scénarios d'exploitation (à surveiller)

1. Un contributeur enregistre un post contenant une charge utile malveillante dans un élément WPBakery. Un administrateur prévisualise ou édite plus tard la page ; le script s'exécute dans le contexte de l'administrateur.
2. Un contributeur publie du contenu (si autorisé) qui exécute des scripts pour que les visiteurs effectuent des redirections, affichent du spam ou exploitent des ressources.
3. L'attaquant cache les charges utiles derrière des vérifications d'agent utilisateur ou de référent afin que le comportement malveillant ne soit pas évident lors d'une inspection occasionnelle.

Comment détecter si vous avez été ciblé

Liste de contrôle rapide d'audit :

• Version du plugin : Confirmez la version de WPBakery à partir de l'écran des plugins ou de WP-CLI. Si ≤ 8.6, supposez une exposition.
• Examinez le contenu récent : Filtrez les posts/pages rédigés par des contributeurs au cours des 30 à 90 derniers jours et inspectez pour du HTML non fiable.
• Analyse de la base de données : Search post_content and postmeta for script markers such as
  Vérifiez ma commande

  0

  Sous-total

  Taxes et frais de port calculés à la caisse

  Passer à la caisse