User Generator and Importer <= 1.2.2 - Cross-Site Request Forgery vers Escalade de Privilèges via Création Arbitraire de Compte Administrateur

Cette vulnérabilité CSRF permet à un attaquant de créer de nouveaux comptes utilisateur avec des privilèges d'administrateur sans authentification préalable. L'attaquant peut ainsi prendre le contrôle du site WordPress en créant un compte administrateur à sa guise. L'impact est significatif car il permet une prise de contrôle complète du site, y compris la modification de contenu, l'installation de logiciels malveillants et l'accès aux données sensibles. Une attaque réussie pourrait compromettre l'intégrité et la confidentialité des données du site et de ses utilisateurs. Bien qu'il n'y ait pas de rapports d'exploitation active connus, la simplicité de l'exploitation CSRF rend cette vulnérabilité particulièrement préoccupante.

WordPress sites using the User Generator and Importer plugin in versions 1.0.0 through 1.2.2 are at risk. Shared hosting environments that utilize this plugin are particularly vulnerable, as they may not have the ability to quickly update plugins or implement custom security measures. Sites with a large number of administrators are also at increased risk, as the likelihood of an administrator clicking on a malicious link increases.

• wordpress: Use wp-cli to check the plugin version:

wp plugin list --status=active | grep 'User Generator and Importer'

• wordpress: Search plugin files for the vulnerable function: grep -r "Import Using CSV File" /path/to/wordpress/wp-content/plugins/user-generator-and-importer/ • generic web: Monitor access logs for requests to the import endpoint with unusual parameters or originating from unexpected IP addresses. • generic web: Check response headers for the presence of a strong Content Security Policy (CSP) header.

1. 2025-12-05Disclosure

   disclosure

1. Réservé2025-11-07
2. Publiée2025-12-05
3. Modifiée2026-04-08
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour le plugin User Generator and Importer vers une version corrigée dès que possible. En attendant la mise à jour, des mesures de mitigation temporaires peuvent être appliquées. Il est recommandé d'activer un plugin de sécurité WordPress qui offre une protection CSRF, ou de configurer un Web Application Firewall (WAF) pour bloquer les requêtes CSRF malveillantes. Vérifiez également les logs du serveur pour détecter toute tentative de création de compte administrateur suspecte. Après la mise à jour, vérifiez que la fonction "Import Using CSV File" nécessite une authentification appropriée et utilise des nonces pour prévenir les attaques CSRF.