Urgent : Planificateur de publication automatique <= 1.84 — CSRF → XSS stocké (CVE‑2026‑1877) — Ce que les propriétaires de sites WordPress doivent faire maintenant

Une vulnérabilité de gravité moyenne (CVE‑2026‑1877, CVSS 7.1) affecte le plugin Planificateur de publication automatique WordPress (versions ≤ 1.84). Le défaut permet une falsification de requête intersite (CSRF) qui entraîne un script intersite stocké (XSS) dans la gestion des options du plugin (aps_options_page). En résumé : un attaquant peut faire en sorte que du JavaScript soit écrit dans les options du plugin et exécuté ultérieurement dans un contexte administratif ou partout où ces options sont rendues. Cette exécution peut entraîner une compromission du site si les administrateurs sont ciblés.

Cet avis — préparé par des praticiens de la sécurité à Hong Kong — explique le problème, des scénarios d'abus pratiques, comment détecter une compromission et des étapes d'atténuation immédiates que vous pouvez mettre en œuvre en attendant un correctif officiel du plugin.

Résumé exécutif (TL;DR)

• Logiciel affecté : plugin Planificateur de publication automatique (WordPress) — versions ≤ 1.84.
• Type de vulnérabilité : CSRF permettant un XSS stocké via la page des options du plugin (aps_options_page).
• CVE : CVE‑2026‑1877
• Gravité : Moyenne (CVSS 7.1)
• Exploitabilité : Nécessite de tromper un utilisateur privilégié connecté (généralement un administrateur). Un attaquant peut héberger la page d'exploitation à l'extérieur ; la victime doit être authentifiée et visiter la page d'attaque.
• Risque : Un XSS stocké dans le contexte administratif peut entraîner une prise de contrôle complète du site — créer des comptes administrateurs, installer des portes dérobées, exfiltrer des données.
• Actions immédiates : Désactivez le plugin si possible. Sinon, appliquez des règles WAF ciblées, faites tourner les identifiants administratifs et scannez à la recherche de scripts injectés.

Quelle est exactement la vulnérabilité ?

Le plugin expose un gestionnaire d'options (aps_options_page) qui accepte des valeurs d'options POSTées qui sont stockées sans vérification CSRF adéquate et sans assainir ou échapper la sortie lorsqu'elle est rendue. Plus précisément :

• Aucun nonce approprié ou vérification de capacité manquante n'est appliqué à la requête modifiant l'état.
• Les entrées stockées dans les options sont ensuite rendues sans échapper de manière sécurisée, permettant un XSS persistant.
• Parce que l'exécution peut se produire dans les pages administratives, l'attaquant obtient une exécution JavaScript à privilège élevé.

Cela crée une chaîne CSRF → XSS stocké : un attaquant falsifie une requête qui écrit du contenu malveillant dans les options ; la visualisation ultérieure de ces options exécute la charge utile.

Flux d'attaque (comment un attaquant abuse de cela)

1. L'attaquant héberge une page web qui envoie un POST à la page aps_options_page du site WordPress cible avec des champs contenant des charges utiles JavaScript.
2. L'attaquant trompe un administrateur (ou un autre utilisateur privilégié) pour qu'il visite la page malveillante tout en étant connecté.
3. Le navigateur de l'administrateur soumet automatiquement le POST en utilisant des cookies actifs ; le plugin stocke l'entrée malveillante.
4. Lorsque un administrateur consulte plus tard les paramètres du plugin (ou ailleurs l'option est rendue), le script stocké s'exécute dans le navigateur de cet administrateur.
5. Le script effectue des actions privilégiées (créer des utilisateurs, installer des plugins, modifier des fichiers) ou exfiltre des données.

Remarque : L'attaquant n'a pas besoin d'être authentifié pour héberger ou envoyer la page malveillante — seul la victime doit être connectée avec des privilèges suffisants.

Scénarios d'impact réalistes

• Compromission de la session administrateur (vol de cookie ou actions XHR utilisant des privilèges administratifs).
• Création silencieuse d'un nouveau compte administrateur et perte d'accès.
• Installation de plugins de porte dérobée ou modifications de thème pour persister l'accès.
• Exfiltration de listes d'utilisateurs, de configurations ou d'autres données sensibles.
• Livraison de logiciels malveillants, spam SEO ou redirections de visiteurs.

Le XSS stocké dans les pages administratives a un impact élevé car il remet effectivement les capacités de l'administrateur à l'attaquant via le navigateur.

Comment vérifier si votre site est vulnérable ou déjà compromis

1. Vérification de la version du plugin:
   • Interface Admin : Plugins → Plugins installés → Planificateur de publication automatique. Si version ≤ 1.84, supposer vulnérable.
   • WP‑CLI : wp plugin get auto-post-scheduler --field=version
2. Inspecter les options stockées:
   • Regarder dans le wp_options tableau pour les noms d'options contenant “aps”, “auto_post_scheduler”, etc.
   • Exemple de requête :

     SELECT option_name, option_value FROM wp_options WHERE option_name LIKE '%aps%' OR option_name LIKE '%auto_post%';

   • Rechercher , onerror=, or javascript: in option values.
3. Check plugin settings and public output:
   • Open the plugin options page as admin and view the page source for injected script tags or inline event handlers.
   • Search backups and exported options for injected payloads.
4. Logs:
   • Review webserver and access logs for suspicious POSTs to admin endpoints and unusual Content‑Type or payloads.
5. Indicators of compromise:
   • Unexpected administrator accounts.
   • New or modified plugins/themes you did not install.
   • Unusual outbound traffic or cron jobs.
   • Spam content or SEO injections.

// mu-plugin emergency patch: prevent unauthenticated CSRF updates to APS options
add_action( 'admin_init', function() {
    if ( ! empty( $_POST ) && isset( $_POST['action'] ) && $_POST['action'] === 'aps_update_options' ) {
        // Require current_user_can check
        if ( ! current_user_can( 'manage_options' ) ) {
            wp_die( 'Insufficient permissions.' );
        }
        // Verify nonce - plugin should include its own nonce name if available
        if ( ! isset( $_POST['aps_nonce'] ) || ! wp_verify_nonce( $_POST['aps_nonce'], 'aps_save_options' ) ) {
            wp_die( 'Security check failed.' );
        }
        // Quick sanitization example:
        foreach ( $_POST as $key => $val ) {
            if ( is_string( $val ) ) {
                $_POST[ $key ] = wp_kses( $val, array( 'a' => array( 'href' => array(), 'title' => array() ) ) );
            }
        }
    }
}, 1 );

-- Search options for script tags
SELECT option_name, option_value
FROM wp_options
WHERE option_value LIKE '%