Plateforme
wordpress
Composant
formfacade
Corrigé dans
1.4.2
Une vulnérabilité de Cross-Site Request Forgery (CSRF) a été découverte dans le plugin FormFacade pour WordPress. Cette faille permet à un attaquant d'effectuer des actions non autorisées au nom d'un utilisateur authentifié, potentiellement compromettant les données et la configuration du formulaire. Elle affecte les versions de FormFacade comprises entre 0.0.0 et 1.4.1. Une solution de contournement est disponible en attendant une mise à jour.
L'exploitation réussie de cette vulnérabilité CSRF peut permettre à un attaquant de modifier les paramètres du formulaire, d'ajouter ou de supprimer des champs, voire de compromettre les données soumises par les utilisateurs. Un attaquant pourrait, par exemple, modifier les champs d'un formulaire de contact pour injecter du code malveillant ou rediriger les utilisateurs vers un site web malveillant. Le risque est accru si le plugin est utilisé pour collecter des informations sensibles, telles que des données personnelles ou financières. La portée de l'impact dépend de la sensibilité des données traitées par le formulaire et des privilèges de l'utilisateur compromis.
Aucune information publique concernant une exploitation active de cette vulnérabilité n'est disponible à ce jour. La vulnérabilité a été publiée le 31 décembre 2025. Son score CVSS de 4.3 (MODÉRÉ) indique une probabilité d'exploitation modérée. Il est conseillé de surveiller les forums de sécurité et les bases de données de vulnérabilités pour toute nouvelle information.
Websites using the FormFacade plugin, particularly those handling sensitive user data or integrated with other critical systems, are at risk. Users who haven't updated the plugin to the latest version are especially vulnerable.
• wordpress / composer / npm:
grep -r 'formfacade/formfacade' /var/www/html/
wp plugin list | grep FormFacade• generic web:
curl -I https://your-wordpress-site.com/wp-content/plugins/formfacade/formfacade.php | grep Serverdisclosure
Statut de l'Exploit
EPSS
0.02% (percentile 5%)
CISA SSVC
Vecteur CVSS
La solution la plus efficace consiste à mettre à jour le plugin FormFacade vers une version corrigée dès qu'elle sera disponible. En attendant, une mesure de protection consiste à implémenter des jetons CSRF sur tous les formulaires. Cela peut être réalisé en ajoutant des jetons uniques et imprévisibles à chaque formulaire et en vérifiant ces jetons lors de la soumission du formulaire. L'utilisation d'un pare-feu applicatif web (WAF) configuré pour bloquer les requêtes CSRF peut également aider à atténuer le risque. Vérifiez après la mise à jour que les formulaires fonctionnent correctement et que les jetons CSRF sont correctement générés et validés.
Aucun correctif connu n'est disponible. Veuillez examiner en profondeur les détails de la vulnérabilité et mettre en œuvre des mesures d'atténuation en fonction de la tolérance au risque de votre organisation. Il peut être préférable de désinstaller le logiciel affecté et de trouver un remplacement.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2025-62133 décrit une vulnérabilité CSRF (Cross-Site Request Forgery) dans le plugin FormFacade pour WordPress, permettant à un attaquant d'exécuter des actions non autorisées.
Si vous utilisez le plugin FormFacade dans votre site WordPress et que vous avez une version inférieure ou égale à 1.4.1, vous êtes potentiellement affecté par cette vulnérabilité.
La solution recommandée est de mettre à jour le plugin FormFacade vers la dernière version disponible. En attendant, implémentez des jetons CSRF sur vos formulaires.
À ce jour, aucune exploitation active de cette vulnérabilité n'a été confirmée, mais il est important de prendre des mesures préventives.
Consultez le site web du développeur de FormFacade ou le dépôt GitHub du plugin pour obtenir les informations les plus récentes et les mises à jour de sécurité.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.