https://cyberveille.ch/tags/super-forms/ Recent content in Super Forms on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sat, 05 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-05-exploitation-active-d-une-vulnerabilite-critique-dans-le-plugin-wordpress-super-forms/ Sat, 05 Sep 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-09-05-exploitation-active-d-une-vulnerabilite-critique-dans-le-plugin-wordpress-super-forms/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 5 septembre 2026 par Wordfence (István Márton), cet article détaille l&rsquo;exploitation active d&rsquo;une <strong>vulnérabilité critique</strong> (CVSS 9.8) dans le plugin WordPress <strong>Super Forms – Drag &amp; Drop Form Builder</strong>, affectant environ 13 000 installations actives.</p> <h2 id="-vulnérabilité">🐛 Vulnérabilité</h2> <ul> <li><strong>Type</strong> : Unauthenticated Arbitrary File Upload (upload de fichier arbitraire non authentifié)</li> <li><strong>Versions affectées</strong> : &lt;= 6.3.313</li> <li><strong>Version corrigée</strong> : 6.3.314 (publiée le 8 juillet 2026)</li> <li><strong>Vecteur</strong> : La fonction <code>submit_form()</code> de la classe <code>SUPER_Ajax</code>, accessible sans authentification via le handler AJAX <code>nopriv</code>, ne valide ni le type de fichier ni l&rsquo;extension, et ne vérifie aucune capacité utilisateur.</li> <li><strong>Contournement du nonce</strong> : L&rsquo;action AJAX <code>super_create_nonce</code> (nopriv) permet à tout visiteur non authentifié d&rsquo;obtenir un <code>sf_nonce</code> valide en une seule requête, réduisant l&rsquo;exploitation à <strong>deux requêtes HTTP non authentifiées</strong>.</li> <li><strong>Impact</strong> : Écriture d&rsquo;un webshell PHP exécutable sur le serveur, permettant l&rsquo;exécution de code arbitraire, la création de comptes administrateurs, l&rsquo;exfiltration de données et la prise de contrôle complète du site.</li> </ul> <h2 id="-exploitation-observée">⚔️ Exploitation observée</h2> <ul> <li>Les attaquants ont commencé à cibler la vulnérabilité le <strong>14 juillet 2026</strong>, le jour même de la publication de la règle de pare-feu Wordfence.</li> <li>La période d&rsquo;exploitation la plus intense a été observée entre le <strong>18 et le 25 août 2026</strong>.</li> <li><strong>Plus de 250 000 tentatives d&rsquo;exploitation</strong> ont été bloquées par le pare-feu Wordfence.</li> <li>Le payload observé est un webshell PHP nommé <strong><code>Mushr00w_upl.php</code></strong>, utilisé comme dropper de premier niveau pour déposer d&rsquo;autres malwares, kits de phishing ou fichiers spam.</li> <li>Le branding « Mushr00w » est associé à un groupe de hackers ayant défacé le site du Ministère de la Santé de Malaisie via <strong>CVE-2026-48907</strong> (extension Joomla).</li> </ul> <h2 id="-exemple-de-requête-dattaque">📋 Exemple de requête d&rsquo;attaque</h2> <ul> <li><strong>Endpoint ciblé</strong> : <code>POST /wp-admin/admin-ajax.php</code></li> <li><strong>Paramètre action</strong> : <code>super_submit_form</code></li> <li>Le champ <code>datauristring</code> contient un payload PHP encodé en base64, préfixé d&rsquo;un faux type MIME <code>data:image/gif;base64</code></li> <li>Le nom de fichier destination est contrôlé par l&rsquo;attaquant (<code>Mushr00w_upl.php</code>)</li> </ul> <h2 id="-top-ips-offensives">🌐 Top IPs offensives</h2> <ul> <li><code>103.168.147.235</code> : &gt;106 000 requêtes bloquées</li> <li><code>103.168.146.131</code> : &gt;82 000 requêtes bloquées</li> <li><code>103.154.152.178</code>, <code>103.170.97.7</code>, <code>182.10.130.51</code>, <code>189.4.122.140</code>, <code>129.227.46.143</code>, <code>64.176.209.104</code>, <code>103.164.182.122</code>, <code>37.9.33.62</code></li> </ul> <h2 id="-type-darticle">📄 Type d&rsquo;article</h2> <p>Analyse technique et rapport d&rsquo;incident publiés par Wordfence, visant à documenter la vulnérabilité, les données d&rsquo;exploitation observées et les indicateurs de compromission associés.</p>