Plateforme
wordpress
Composant
custom-registration-form-builder-with-submission-manager
Corrigé dans
6.0.8
La vulnérabilité CVE-2025-15403 affecte le plugin WordPress RegistrationMagic, permettant une élévation de privilèges. Cette faille critique permet à un attaquant non authentifié de manipuler les paramètres du plugin et d'accorder des privilèges d'administrateur. Les versions concernées sont celles comprises entre 0.0.0 et 6.0.7.1 incluses. Une correction est disponible dans la version 6.0.7.2.
L'exploitation réussie de cette vulnérabilité permet à un attaquant non authentifié d'obtenir un contrôle administratif sur un site WordPress. En manipulant la fonction 'addmenu' via l'action AJAX 'rmuserexists', l'attaquant peut injecter un slug vide dans le paramètre 'order', contournant les contrôles d'authentification. Cela permet d'accorder la capacité 'manageoptions' à un rôle cible, donnant à l'attaquant la possibilité de modifier les paramètres du plugin, d'installer des logiciels malveillants, de voler des données sensibles et de compromettre l'ensemble du site web. Cette vulnérabilité est particulièrement préoccupante car elle ne nécessite aucune authentification préalable.
La vulnérabilité CVE-2025-15403 a été rendue publique le 2026-01-17. Il n'y a pas d'indication d'une inclusion dans le KEV (CISA Known Exploited Vulnerabilities) à ce jour. La disponibilité d'un POC public n'est pas confirmée, mais la simplicité de l'exploitation suggère qu'un tel POC pourrait rapidement émerger. La gravité critique de la vulnérabilité et le fait qu'elle ne nécessite aucune authentification en font une cible potentielle pour les acteurs malveillants.
Statut de l'Exploit
EPSS
0.14% (percentile 34%)
CISA SSVC
Vecteur CVSS
La mitigation principale consiste à mettre à jour immédiatement le plugin RegistrationMagic vers la version 6.0.7.2 ou supérieure. En attendant la mise à jour, il est possible de désactiver temporairement le plugin pour empêcher toute exploitation. Si la mise à jour casse la compatibilité avec d'autres plugins ou le thème, envisagez de faire une sauvegarde complète du site et de revenir à une version antérieure du plugin (si possible) avant d'appliquer la mise à jour. Surveillez les journaux d'accès et d'erreurs du serveur WordPress pour détecter toute activité suspecte liée à l'action AJAX 'rmuserexists'.
Mettre à jour vers la version 6.0.7.2, ou une version corrigée plus récente
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
A CVSS score of 9.8 indicates a critical vulnerability with a high potential for exploitation and a significant impact.
Yes, updating to version 6.0.7.2 or higher is the recommended solution to mitigate this vulnerability. Additionally, reviewing user permissions is advised.
If you are using a version of the RegistrationMagic plugin older than 6.0.7.2, you are vulnerable. You can also monitor server logs for suspicious activity.
Immediately change all passwords, review website files for unauthorized modifications, and consider restoring from a clean backup.
Implement a robust security policy, including regular updates of all plugins and themes, and the use of strong passwords.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.