Contact Form by Bit Form <= 2.17.4 - Requête de Falsification de Serveur Authentifiée (Administrateur+) (Server-Side Request Forgery)

Un attaquant exploitant cette vulnérabilité peut initier des requêtes HTTP arbitraires depuis le serveur d'application. Cela lui permet d'interroger et potentiellement de modifier des informations provenant de services internes, même s'ils ne sont pas directement accessibles depuis l'extérieur. Dans un environnement Multisite, l'attaquant pourrait potentiellement affecter plusieurs sites. L'impact peut aller de la simple collecte d'informations sensibles à des modifications de configuration ou même à l'exécution de code malveillant sur des services internes, en fonction de leur vulnérabilité et des permissions accordées à l'attaquant. Bien que le CVSS soit classé comme LOW, l'accès administrateur requis limite l'exploitation, mais la présence de cette vulnérabilité dans un plugin populaire augmente le risque d'exploitation.

WordPress websites utilizing the Contact Form by Bit Form plugin, particularly those with administrator accounts and internal services accessible via HTTP or HTTPS. Shared hosting environments where multiple WordPress sites share the same server infrastructure are also at increased risk, as a compromised administrator account on one site could potentially be used to exploit the vulnerability on other sites.

• wordpress / composer / npm:

grep -r 'Webhook_url' /var/www/html/wp-content/plugins/contact-form-by-bit-form/*

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/contact-form-by-bit-form/webhook.php | grep -i 'server:'

1. 2025-01-25Disclosure

   disclosure

1. Réservé2025-01-16
2. Publiée2025-01-25
3. Modifiée2025-01-27
4. EPSS mis à jour2026-04-02

La mitigation principale consiste à mettre à jour le plugin « Contact Form by Bit Form » vers une version corrigée dès que possible. En attendant la mise à jour, il est possible de désactiver temporairement l'intégration Webhooks pour réduire la surface d'attaque. Si la mise à jour casse la compatibilité, une solution de contournement consiste à restreindre les adresses IP autorisées à accéder aux Webhooks via un pare-feu ou un proxy inverse. Il est également recommandé de surveiller les journaux d'accès et d'erreurs du serveur web pour détecter des requêtes suspectes vers des destinations internes. Après la mise à jour, vérifiez la configuration du plugin et assurez-vous que les Webhooks sont correctement sécurisés.

Note du plugin