TL;DR

Le Cross‑Site Scripting (XSS) stocké (CVE‑2026‑2367) affecte la Protection de contenu par copie sécurisée et le verrouillage de contenu (≤ 5.0.1). Un contributeur authentifié peut injecter une charge utile malveillante via un attribut de shortcode qui est stocké et exécuté plus tard lorsqu'un utilisateur ayant des privilèges plus élevés consulte la page affectée. Le fournisseur a corrigé le problème dans la version 5.0.2. Action immédiate : valider l'installation, mettre à niveau vers 5.0.2+ ou appliquer des atténuations temporaires (désactiver le plugin, restreindre la création de contenu, scanner et nettoyer). Ci-dessous se trouve une explication technique, des conseils de détection et de remédiation, et des étapes pratiques pour les sites et administrateurs basés à Hong Kong.

Contexte et impact

• Vulnérabilité : Cross‑Site Scripting (XSS) stocké via un attribut de shortcode
• Logiciel affecté : Protection de contenu par copie sécurisée et verrouillage de contenu — versions ≤ 5.0.1
• Corrigé dans : 5.0.2
• CVE : CVE‑2026‑2367
• Signalé : 24 févr., 2026
• Privilège requis pour l'injection : Contributeur
• CVSS (rapporté) : 6.5 — modéré

Pourquoi cela importe : Les comptes de contributeurs sont couramment utilisés pour des articles invités et la collaboration. Si les contributeurs peuvent stocker des attributs de shortcode contenant du JS exécutable, les attaquants peuvent provoquer l'exécution de scripts dans le navigateur des éditeurs ou des administrateurs qui consultent le contenu. Le XSS stocké peut permettre le vol de session, l'escalade de privilèges et la compromission du site.

Comment cette vulnérabilité particulière fonctionne (résumé technique)

Les shortcodes WordPress sont gérés par des rappels qui reçoivent des attributs ($atts). Si le plugin affiche des valeurs d'attribut sans une sanitation et un échappement appropriés, des attributs contenant du HTML/JS peuvent s'exécuter dans le navigateur d'un autre utilisateur. Dans ce cas, un Contributeur peut enregistrer un attribut de shortcode conçu qui est ensuite rendu et exécuté lorsque qu'un utilisateur privilégié consulte la page.

Exemple conceptuel (ne pas exécuter) :

[secure_copy attr=""]

Avertissements importants :

• Les contributeurs manquent généralement de unfiltered_html, mais les attributs de shortcode et les champs de saisie de plugin peuvent contourner cette restriction.
• L'exploitation nécessite généralement qu'un utilisateur privilégié consulte ou prévisualise la page.

Scénarios d'attaque

1. Programme d'auteur invité : L'attaquant soumet un contenu brouillon avec des attributs de shortcode malveillants ; l'éditeur/l'administrateur prévisualise et déclenche la charge utile.
2. Compte de contributeur compromis : L'attaquant modifie les publications pour inclure des charges utiles ; les visiteurs ou les administrateurs sont affectés lors de la visualisation.
3. Ingénierie sociale + révision : L'attaquant attire des utilisateurs privilégiés vers une page malveillante (lien direct vers un brouillon ou un aperçu de publication).

Objectifs potentiels de l'attaquant : vol de données d'identification, actions privilégiées via le contexte de session, scripts malveillants persistants, création de portes dérobées ou de comptes, et distribution de charges utiles supplémentaires aux visiteurs du site.

Évaluation des risques — qui devrait s'inquiéter le plus ?

• Sites acceptant du contenu invité ou des soumissions de contributeurs sans modération stricte.
• Sites où les éditeurs/admins prévisualisent ou examinent fréquemment le contenu.
• Sites avec le plugin vulnérable installé et non corrigé (≤ 5.0.1).

Considérez cela comme une action à entreprendre pour tout site de production utilisant le plugin. Même des entrées à faible privilège peuvent être exploitées pour s'exécuter dans le navigateur d'un utilisateur privilégié.

Liste de contrôle de remédiation immédiate (que faire dès maintenant)

1. Mise à niveau : Mettez à jour le plugin vers la version 5.0.2 ou ultérieure — c'est la solution définitive.
2. Si vous ne pouvez pas mettre à jour immédiatement, atténuations temporaires :
   • Désactivez ou désactivez le plugin jusqu'à ce qu'il soit corrigé.
   • Restreindre les soumissions de contributeurs : suspendre les inscriptions publiques, définir les soumissions sur modération uniquement.
   • Utilisez un WAF ou un filtrage en bordure disponible pour bloquer les charges utiles d'exploitation évidentes (onerror=,
     Vérifiez ma commande

     0

     Sous-total

     Taxes et frais de port calculés à la caisse

     Passer à la caisse