WordPress WP-CalDav2ICS plugin <= 1.3.4 - Vulnérabilité Cross Site Request Forgery (CSRF)

L'exploitation réussie de cette vulnérabilité CSRF/XSS permet à un attaquant d'injecter du code JavaScript malveillant dans le site WordPress. Ce code peut être exécuté dans le contexte du navigateur de l'utilisateur, permettant à l'attaquant de voler des cookies de session, de modifier le contenu du site web, de rediriger les utilisateurs vers des sites malveillants ou d'effectuer d'autres actions au nom de l'utilisateur. Le risque est accru si l'utilisateur possède des privilèges d'administrateur sur le site WordPress, car l'attaquant pourrait alors prendre le contrôle total du site. Cette vulnérabilité est particulièrement préoccupante car elle peut être exploitée sans nécessiter d'authentification préalable, rendant un large éventail de sites WordPress potentiellement vulnérables.

Websites using the WP-CalDav2ICS plugin, particularly those running older, unpatched versions (0.0.0–1.3.4), are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise of one site could potentially lead to the compromise of others.

• wordpress / composer / npm:

grep -r "wp-caldav2ics" /var/www/html/
wp plugin list | grep WP-CalDav2ICS

• generic web:

curl -I https://example.com/wp-content/plugins/wp-caldav2ics/ | grep -i 'wp-caldav2ics'

1. 2025-12-30Disclosure

   disclosure

1. Réservé2025-09-09
2. Publiée2025-12-30
3. Modifiée2026-04-28
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour le plugin WP-CalDav2ICS vers une version corrigée dès que possible. En attendant la mise à jour, il est possible de limiter l'impact en appliquant des mesures de sécurité supplémentaires. Il est recommandé de désactiver temporairement le plugin si la mise à jour n'est pas immédiatement disponible. L'utilisation d'un plugin de sécurité WordPress capable de détecter et de bloquer les attaques CSRF peut également aider à atténuer le risque. Vérifiez après la mise à jour que le plugin est correctement mis à jour et qu'il n’y a pas de conflits avec d’autres plugins ou thèmes.

Installations actives

200

Note du plugin