CVE-2025-26776 (CVSS 10) dans Chaty Pro Plugin Expose des milliers de sites WordPress à emporter
Une vulnérabilité critique a été découverte dans le plugin Chaty Pro pour WordPress, ce qui a potentiellement permis aux attaquants de prendre complètement le contrôle des sites web. Avec environ 18 000 installations actives, ce plugin, qui fournit un bouton de discussion pour que les visiteurs du site web puissent se connecter via diverses plateformes comme WhatsApp et Facebook Messenger, est maintenant confirmé comme ayant une grave faille de sécurité.
Patchstack, une société de sécurité WordPress, a identifié une vulnérabilité de téléchargement de fichier arbitraire dans le plugin et lui a attribué CVE-2025-26776 avec un score CVSS de 10, indiquant sa gravité critique. « Le plugin souffre d’une vulnérabilité arbitraire de téléchargement de fichiers. En conséquence, un attaquant peut télécharger un fichier malveillant sur le système et prendre le site WordPress en effectuant une série de requêtes HTTP », explique Patchstack dans son conseil de sécurité.
La vulnérabilité tient à l’absence d’autorisation et de contrôles de sécurité appropriés dans le code responsable du traitement des données par les utilisateurs. « Cette vulnérabilité s’est produite parce que le code qui gère l’entrée de l’utilisateur n’avait pas d’autorisation ou de non-regarde », indique le conseil. Cela signifie essentiellement que les attaquants peuvent exploiter la fonctionnalité de téléchargement de fichiers du plugin pour télécharger des fichiers malveillants, tels que des scripts PHP, qui peuvent ensuite être exécutés pour gagner le contrôle du site web.
« Bien qu’il existe une variable appelée « fichier » avec une liste blanche des extensions qui devrait être autorisée, elle n’est jamais mise en œuvre dans aucune partie du code », explique Patchstack. Cet oubli permet aux attaquants de contourner toute restriction prévue et de télécharger des fichiers à intention malveillante.
Heureusement, les développeurs de Chaty Pro ont abordé CVE-2025-26776 dans la version 3.3.4. Le patch utilise la fonction wp-handle-upload() plus sécurisée et met en œuvre des contrôles appropriés sur les fichiers téléchargés. « Au lieu d’utiliser un appel non sécurisé vers le move-uploaded-file() de PHP avec des données utilisateur non assainis, la fonctionnalité qui gère les téléchargements de fichiers utilise maintenant wp-handle-upload() et vérifie correctement l’extension et le contenu des fichiers téléchargés », confirme l’avis.
Les propriétaires de sites web utilisant le plugin Chaty Pro sont vivement invités à mettre à jour la version 3.3.4 ou plus tard pour protéger leurs sites contre les attaques potentielles.
Source: https://securityonline.info/
