Le plugin File Manager de WordPress est affecté par une vulnérabilité de type Cross-Site Request Forgery (CSRF) dont l’exploitation permettrait à un attaquant non authentifié d’exécuter du code à distance via l’inclusion de fichiers Javascript WordPress.

DESCRIPTION :

File manager est un plugin du CMS WordPress qui permet de gérer les fichiers et dossiers d’un site web directement depuis le tableau de bord WordPress, sans avoir besoin d’accéder au serveur d’hébergement via FTP (File Transfer Protocol). En d’autres termes, il s’agit d’un explorateur de fichier pour un site WordPress.

Il présente une vulnérabilité libellée CVE-2024-1538 dont l’exploitation permettrait à un acteur malveillant non authentifié d’inclure des fichiers JavaScript pour exécuter du code à distance. Pour exploiter cette vulnérabilité, l’attaquant doit être suffisamment ingénieux pour induire l’administrateur à exécuter la requête falsifiée. Ladite faille est due à une validation incorrecte ou manquante des fichiers inclus via le paramètre ‘lang’ sur la page wp-file-manager.

Cette vulnérabilité est classée critique avec un score CVSS3 de 8.8.