CVE-2025-14077: CSRF dans le plugin Simcast WordPress

Un attaquant peut exploiter cette vulnérabilité CSRF en créant une requête malveillante et en incitant un administrateur du site à la soumettre. Cela pourrait permettre à l'attaquant de modifier les paramètres du plugin Simcast, potentiellement compromettant le fonctionnement du site web ou exposant des informations sensibles. L'impact est amplifié si l'administrateur est victime d'une attaque de phishing ou d'ingénierie sociale, rendant la compromission plus probable. Bien que l'exploitation nécessite l'interaction d'un utilisateur ayant des privilèges d'administrateur, la simplicité de l'attaque CSRF en fait une menace significative.

WordPress sites utilizing the Simcast plugin, particularly those with administrators who frequently click on links from untrusted sources, are at risk. Shared hosting environments where multiple WordPress sites share the same server resources could also be affected if one site is compromised.

• wordpress / composer / npm:

grep -r 'settingsPage' /var/www/html/wp-content/plugins/simcast/

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/simcast/settings.php | grep -i 'csrf token'

1. 2026-01-07Disclosure

   disclosure

1. Réservé2025-12-04
2. Publiée2026-01-07
3. Modifiée2026-04-08
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour le plugin Simcast vers la dernière version disponible, qui corrige la vulnérabilité CSRF. Si la mise à jour n'est pas immédiatement possible, envisagez de désactiver temporairement le plugin ou de restreindre l'accès aux pages de configuration. Il est également recommandé de mettre en place des mesures de sécurité supplémentaires, telles que l'utilisation de jetons CSRF robustes et la sensibilisation des administrateurs aux risques de phishing. Après la mise à jour, vérifiez que les paramètres du plugin sont corrects et qu'il n'y a pas de modifications inattendues.