REST API

🔍 Contexte Publié le 20 juillet 2026 par Wiz Research (Shahar Dorfman, Gili Tikochinski), cet article documente l’exploitation active dans la nature d’une chaîne de vulnérabilités critique baptisée “wp2shell”, affectant WordPress Core. La vulnérabilité a été découverte par Searchlight Cyber à l’aide d’OpenAI GPT 5.6 Sol et publiée le 17 juillet 2026. 🎯 Vulnérabilités concernées CVE-2026-63030 & CVE-2026-60137 : Chaîne RCE complète pré-authentification affectant WordPress Core versions 6.9.0–6.9.4 et 7.0.0–7.0.1 CVE-2026-60137 (seul) : Injection SQL affectant WordPress Core versions 6.8.0–6.8.5 Le vecteur d’exploitation repose sur les endpoints REST API batch (/wp-json/batch/v1 ou /?rest_route=/batch/v1) 📊 Exposition 60% des organisations utilisant WordPress avaient au moins une instance vulnérable au moment de la publication 25% exposaient un serveur vulnérable sur Internet Ces chiffres ont décliné à 50% et 10% respectivement dans les 24 heures suivant la publication 💥 Activités post-exploitation observées Upload de plugins malveillants via /wp-admin/plugin-install.php?tab=upload et POST /wp-admin/update.php?action=upload-plugin Énumération d’utilisateurs via /wp-json/wp/v2/users?context=edit Tentatives de LFI via admin-ajax.php?template=../../../wp-config pour exfiltrer des credentials Accès au panneau d’administration avec sessions authentifiées confirmées (HTTP 200) Campagnes de mass-scanning opportuniste sans post-exploitation 🦠 Malwares déployés Webshell PHP minimaliste : one-liner utilisant eval($_POST[...]) avec retour 404 comme technique d’évasion Webshell 150KB déguisé en plugin WordPress “CMSmap” : plateforme d’attaque complète avec interface graphique, authentification par mot de passe, gestion de fichiers, accès base de données, scan de ports, injection de code en masse, modules d’escalade de privilèges (dont exploitation MySQL UDF). Obfusqué via encodage hex et base64/gzip compressé, décodé à l’exécution via eval(gzuncompress(base64_decode(...))) Troisième plugin malveillant : webshell PHP enregistrant un endpoint REST API personnalisé (/morning/v1/[REDACTED]) avec callback permissif (__return_true), exécutant des commandes base64-encodées via passthru() 🔎 Indicateurs de détection Réponses HTTP 207/200 Multi-Status aux requêtes vers les endpoints batch User-agent strings contenant wp2shell et rezwp2shell 📋 Type d’article Il s’agit d’une analyse technique et rapport d’exploitation active publié par Wiz Research, visant à documenter les TTPs observés, fournir des IOCs exploitables et informer les équipes de sécurité sur l’état de la menace. ...

🔍 Contexte Publié le 18 juillet 2026 sur le blog ZephrSec (zsec.uk), cet article constitue une analyse technique approfondie (code trace) de la vulnérabilité wp2shell, découverte et documentée par AssetNote. Elle affecte WordPress Core versions 6.9.0 à 7.0.1 et porte deux CVEs : CVE-2026-63030 et CVE-2026-60137. 🐛 Description des vulnérabilités La chaîne d’exploitation repose sur trois composants vulnérables : Désynchronisation du batch REST (/wp-json/batch/v1) : un chemin malformé (http://:) provoque un WP_Error qui est ajouté à $validation mais pas à $matches, désalignant les deux tableaux parallèles. Cela permet à un objet requête d’être dispatché avec le handler d’une autre route. Route confusion : la requête d’un endpoint (/wp/v2/categories) est exécutée par le handler de /wp/v2/posts, contournant la validation du schéma REST. Injection SQL dans WP_Query (author__not_in) : une valeur scalaire non normalisée atteint la construction SQL sans coercition entière, permettant l’injection d’expressions SQL arbitraires (ex: SELECT IF((condition),SLEEP(delay),0)). ⚙️ Chaîne d’exploitation (PoC Python) Le PoC est structuré en deux étapes : ...

🔍 Contexte CrowdSec publie le 1er juin 2026 une analyse de la vulnérabilité CVE-2026-4020 affectant le plugin WordPress Gravity SMTP développé par RocketGenius. La vulnérabilité a été publiée le 31 mars 2026, la couverture de détection CrowdSec déployée le 22 mai, et la première exploitation in-the-wild observée le 27 mai 2026. ⚙️ Mécanisme technique La faille réside dans un endpoint REST API exposé sans contrôle d’accès approprié. L’endpoint /wp-json/gravitysmtp/v1/tests/mock-data?page=gravitysmtp-settings est accessible sans authentification car la vérification de permission retourne systématiquement true. ...

🔍 Contexte Publié le 17 mars 2026 par Sansec (sansec.io), cet article présente une analyse technique détaillée d’une vulnérabilité critique baptisée PolyShell, affectant Magento Open Source et Adobe Commerce dans toutes leurs versions de production actuelles. 🚨 Vulnérabilité La faille réside dans l’API REST de Magento, au niveau du traitement des options de panier (cart item custom options). Trois contrôles critiques sont absents : Aucune validation de l’ID d’option soumis Aucune vérification du type d’option (file) Aucune restriction sur les extensions de fichier (.php, .phtml, .phar autorisées) La seule validation présente (getimagesizefromstring) est trivialement contournable via des fichiers polyglots (images GIF/PNG contenant du code PHP exécutable). ...