Plugin WordPress Total Poll Lite <= 4.12.0 - Vulnérabilité d'exécution de code à distance (RCE)

L'exploitation réussie de cette vulnérabilité permet à un attaquant d'exécuter du code arbitraire sur le serveur hébergeant Total Poll Lite. Cela peut conduire à la prise de contrôle complète du serveur, à la compromission des données sensibles stockées sur le serveur, et à l'utilisation du serveur comme point de pivot pour attaquer d'autres systèmes sur le réseau. L'attaquant pourrait voler des informations personnelles, modifier le contenu du site web, ou même détruire des données. Cette vulnérabilité présente un risque élevé en raison de sa simplicité d'exploitation et de son impact potentiel, rappelant les risques associés à l'injection de code non contrôlée.

WordPress websites utilizing the Total Poll Lite plugin, particularly those running versions 0.0.0 through 4.12.0, are at significant risk. Shared hosting environments are particularly vulnerable, as attackers may be able to exploit the vulnerability on multiple websites hosted on the same server. Sites with weak file access controls or inadequate security monitoring are also at increased risk.

• wordpress / composer / npm:

wp plugin list | grep total-poll-lite

• wordpress / composer / npm:

grep -r 'include($_REQUEST' /var/www/html/wp-content/plugins/total-poll-lite/*

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/total-poll-lite/ | grep 'Remote Code Inclusion'

1. 2026-03-25Disclosure

   disclosure

1. Réservé2026-02-17
2. Publiée2026-03-25
3. Modifiée2026-04-28
4. EPSS mis à jour2026-04-02

La mitigation immédiate consiste à mettre à jour Total Poll Lite vers la dernière version disponible, qui corrige cette vulnérabilité. Si la mise à jour n'est pas possible immédiatement, envisagez de désactiver temporairement le plugin Total Poll Lite. En attendant la mise à jour, il est possible de renforcer la sécurité du serveur en limitant les permissions de l'utilisateur exécutant le plugin et en mettant en place un pare-feu d'application web (WAF) pour bloquer les requêtes malveillantes. Vérifiez après la mise à jour que le plugin fonctionne correctement et qu'aucune erreur ne se produit.

Installations actives

1KNiche

Note du plugin