Le plugin Aruba HiSpeed Cache pour WordPress est vulnérable à Cross-Site Request Forgery dans toutes les versions jusqu'à et incluant la 3.0.4. Ceci est dû à l'absence de vérification de nonce dans la fonction `ahsc_ajax_reset_options()`. Cela permet à des attaquants non authentifiés de réinitialiser tous les paramètres du plugin à leurs valeurs par défaut via une requête forgée, à condition qu'ils puissent inciter un administrateur de site à effectuer une action telle que cliquer sur un lien.

L'exploitation réussie de cette vulnérabilité CSRF permet à un attaquant de modifier la configuration du plugin Aruba HiSpeed Cache sans authentification. Cela peut entraîner des problèmes de performance, des modifications de la mise en cache, voire une dégradation de la sécurité du site web. L'attaquant pourrait, par exemple, désactiver la mise en cache, ce qui augmenterait la charge sur le serveur et ralentirait le site. Dans des scénarios plus graves, un attaquant pourrait manipuler les paramètres de cache pour injecter du contenu malveillant ou rediriger les utilisateurs vers des sites web malveillants. Bien que la réinitialisation des paramètres ne permette pas un accès direct aux données sensibles, elle peut compromettre la fonctionnalité et la sécurité du site web.

Websites utilizing the Aruba HiSpeed Cache plugin, particularly those with shared hosting environments or where plugin updates are not performed regularly, are at risk. WordPress administrators who routinely click on links from untrusted sources are also vulnerable.

• wordpress / composer / npm:

grep -r 'ahsc_ajax_reset_options()' /var/www/html/wp-content/plugins/aruba-hispeed-cache/

• wordpress / composer / npm:

wp plugin list --status=all | grep aruba-hispeed-cache

• wordpress / composer / npm:

wp plugin update aruba-hispeed-cache --all

1. 2026-04-10Disclosure

   disclosure

1. Réservé2026-02-04
2. Publiée2026-04-10
3. Modifiée2026-04-13
4. EPSS mis à jour2026-04-17

La mitigation principale consiste à mettre à jour le plugin Aruba HiSpeed Cache vers la version 3.0.5 ou supérieure, qui corrige cette vulnérabilité. En attendant la mise à jour, il est possible de limiter l'impact en mettant en place des mesures de sécurité supplémentaires. Il est recommandé de désactiver temporairement le plugin si possible. Si la mise à jour est problématique, envisagez de faire une sauvegarde complète du site web et de revenir à une version précédente du plugin avant la mise à jour. L'utilisation d'un pare-feu applicatif web (WAF) peut également aider à bloquer les requêtes CSRF malveillantes en analysant les en-têtes HTTP et en vérifiant la présence de tokens CSRF valides.