Germanized for WooCommerce <= 3.20.5 - Exécution Arbitraire de Shortcode sans Authentification

L'exploitation réussie de cette vulnérabilité permet à un attaquant non authentifié d'exécuter des shortcodes arbitraires sur le site WordPress. Cela peut conduire à l'exécution de code malveillant, à la modification du contenu du site, à la compromission de données sensibles, voire à la prise de contrôle complète du site. L'attaquant pourrait par exemple injecter des shortcodes pour afficher des publicités malveillantes, rediriger les utilisateurs vers des sites malveillants ou même exécuter du code PHP arbitraire. La gravité de l'impact dépendra des privilèges accordés aux shortcodes et de la sensibilité des données stockées sur le site.

Websites using the Germanized for WooCommerce plugin, particularly those running older versions (≤3.20.5), are at risk. Shared hosting environments are especially vulnerable as they often have limited control over plugin updates and security configurations. Sites relying on this plugin for critical e-commerce functionality are also at higher risk.

• wordpress / composer / npm:

grep -r 'do_shortcode' /var/www/html/wp-content/plugins/germanized-for-woocommerce/*

• wordpress / composer / npm:

wp plugin list | grep germanized-for-woocommerce

• wordpress / composer / npm:

curl -I https://your-wordpress-site.com/wp-content/plugins/germanized-for-woocommerce/germanized-for-woocommerce.php | grep Version

1. 2026-04-13Disclosure

   disclosure

1. Réservé2026-02-16
2. Publiée2026-04-13
3. Modifiée2026-04-14
4. EPSS mis à jour2026-04-21

La mitigation principale consiste à mettre à jour le plugin Germanized for WooCommerce vers la version 3.20.6 ou supérieure. En attendant la mise à jour, il est possible de désactiver temporairement le paramètre 'account_holder' si cela n'affecte pas les fonctionnalités essentielles du site. Il est également recommandé de renforcer les mesures de sécurité WordPress, telles que l'utilisation de mots de passe forts, la limitation des tentatives de connexion et l'activation de l'authentification à deux facteurs. Surveillez les logs du serveur pour détecter toute activité suspecte liée à l'exécution de shortcodes.