File Upload

🔍 Contexte Publié le 5 septembre 2026 par Wordfence (István Márton), cet article détaille l’exploitation active d’une vulnérabilité critique (CVSS 9.8) dans le plugin WordPress Super Forms – Drag & Drop Form Builder, affectant environ 13 000 installations actives. 🐛 Vulnérabilité Type : Unauthenticated Arbitrary File Upload (upload de fichier arbitraire non authentifié) Versions affectées : <= 6.3.313 Version corrigée : 6.3.314 (publiée le 8 juillet 2026) Vecteur : La fonction submit_form() de la classe SUPER_Ajax, accessible sans authentification via le handler AJAX nopriv, ne valide ni le type de fichier ni l’extension, et ne vérifie aucune capacité utilisateur. Contournement du nonce : L’action AJAX super_create_nonce (nopriv) permet à tout visiteur non authentifié d’obtenir un sf_nonce valide en une seule requête, réduisant l’exploitation à deux requêtes HTTP non authentifiées. Impact : Écriture d’un webshell PHP exécutable sur le serveur, permettant l’exécution de code arbitraire, la création de comptes administrateurs, l’exfiltration de données et la prise de contrôle complète du site. ⚔️ Exploitation observée Les attaquants ont commencé à cibler la vulnérabilité le 14 juillet 2026, le jour même de la publication de la règle de pare-feu Wordfence. La période d’exploitation la plus intense a été observée entre le 18 et le 25 août 2026. Plus de 250 000 tentatives d’exploitation ont été bloquées par le pare-feu Wordfence. Le payload observé est un webshell PHP nommé Mushr00w_upl.php, utilisé comme dropper de premier niveau pour déposer d’autres malwares, kits de phishing ou fichiers spam. Le branding « Mushr00w » est associé à un groupe de hackers ayant défacé le site du Ministère de la Santé de Malaisie via CVE-2026-48907 (extension Joomla). 📋 Exemple de requête d’attaque Endpoint ciblé : POST /wp-admin/admin-ajax.php Paramètre action : super_submit_form Le champ datauristring contient un payload PHP encodé en base64, préfixé d’un faux type MIME data:image/gif;base64 Le nom de fichier destination est contrôlé par l’attaquant (Mushr00w_upl.php) 🌐 Top IPs offensives 103.168.147.235 : >106 000 requêtes bloquées 103.168.146.131 : >82 000 requêtes bloquées 103.154.152.178, 103.170.97.7, 182.10.130.51, 189.4.122.140, 129.227.46.143, 64.176.209.104, 103.164.182.122, 37.9.33.62 📄 Type d’article Analyse technique et rapport d’incident publiés par Wordfence, visant à documenter la vulnérabilité, les données d’exploitation observées et les indicateurs de compromission associés. ...

🔍 Contexte Publié le 17 mars 2026 par Sansec (sansec.io), cet article présente une analyse technique détaillée d’une vulnérabilité critique baptisée PolyShell, affectant Magento Open Source et Adobe Commerce dans toutes leurs versions de production actuelles. 🚨 Vulnérabilité La faille réside dans l’API REST de Magento, au niveau du traitement des options de panier (cart item custom options). Trois contrôles critiques sont absents : Aucune validation de l’ID d’option soumis Aucune vérification du type d’option (file) Aucune restriction sur les extensions de fichier (.php, .phtml, .phar autorisées) La seule validation présente (getimagesizefromstring) est trivialement contournable via des fichiers polyglots (images GIF/PNG contenant du code PHP exécutable). ...

🔍 Contexte Publié le 02/04/2026 par Octagon Networks sur pwn.ai, cet article détaille une recherche offensive autonome menée par l’agent IA pwn.ai pendant près de 5 jours, initiée lors d’un engagement client sur une application web minimaliste dont la seule surface d’attaque était une boîte d’upload traitant les fichiers via ImageMagick. 🎯 Découvertes principales La recherche a abouti à la découverte de multiples zero-days dans ImageMagick affectant toutes les distributions Linux majeures (Ubuntu 22.04, Debian, Fedora, RHEL, Arch, Alpine, Amazon Linux, macOS Homebrew, Docker) ainsi que les installations WordPress. ...