Origine : bjCSIRT
Numéro : 2024/ALERTE/025
Date de l’alerte : 03/05/2024
APERÇU :
Le plugin WP Datepicker de WordPress est affecté par une vulnérabilité de type élévation de privilèges permettant à un acteur malveillant d’obtenir des privilèges supplémentaires au sein du système.
DESCRIPTION
WP Datepicker est un plugin WordPress utilisé pour la gestion des saisies de date et d’heure dans les formulaires des sites wordpress.
Ce plugin est affecté par une vulnérabilité libellée CVE-2024-3895. Elle est due à une mauvaise vérification des autorisations de la fonction wpdp_add_new_datepicker_ajax() dans les versions du plugin WP Datepicker. Son exploitation permettrait à un acteur malveillant authentifié, disposant d’un accès au niveau de l’abonné ou supérieur, de modifier des options arbitraires pour obtenir des privilèges supplémentaires au sein du système.
Cette vulnérabilité est classée critique avec un score de sévérité de 8.8.
IMPACT :
- Compromission du système ;
- Élévation de privilèges ;
- Accès à des données sensibles.
SYSTÈMES AFFECTÉS :
Toutes les versions du plugin WP Datepicker antérieures à la version 2.1.1.
MESURES À PRENDRE :
Mettre à jour le plugin WP Datepicker vers la dernière version disponible.
