Une fois que l'utilisateur courant est basculé vers un administrateur, les vérifications de capacité suivantes passent. L'attaquant peut alors accéder au point de terminaison REST /burst/v1/mainwp-auth, qui crée un mot de passe d'application WordPress pour le compte administrateur et le renvoie dans la réponse. Cela donne à l'attaquant un accès administrateur complet et persistant.

Plugin concerné

Ce que les attaquants peuvent faire

Analyse technique

Initialisation du plugin et porte vulnérable

Burst Statistics s'initialise lors du hook plugins_loaded de WordPress à la priorité 9, dans class-burst.php :

has_admin_access() est le gardien de toutes les fonctionnalités d'administration. Il vérifie la présence de l'en-tête X-BurstMainWP et appelle la fonction vulnérable :

La fonction vulnérable : is_mainwp_authenticated()

Pourquoi wp_authenticate_application_password() renvoie null

La fonction interne de WordPress wp_authenticate_application_password() possède un filtre :

Lorsqu'elle est appelée en dehors du flux d'authentification de l'API REST, cela renvoie null. Le code de Burst Statistics vérifiait seulement is_wp_error($is_valid) — null n'est pas une WP_Error, donc la vérification passe incorrectement.

Chemin d'exécution vers la prise de contrôle administrateur

1. L'attaquant envoie l'en-tête X-BurstMainWP: 1 avec n'importe quelle requête
2. has_admin_access() déclenche is_mainwp_authenticated()
3. wp_authenticate_application_password() renvoie null (hors contexte API)
4. is_wp_error(null) = false → la vérification passe
5. wp_set_current_user($admin_id) s'exécute
6. L'utilisateur courant est désormais l'administrateur choisi
7. L'attaquant envoie une requête POST à /burst/v1/mainwp-auth
8. handle_auth_request() génère un mot de passe d'application WordPress
9. Le jeton est renvoyé sous forme base64(username:app_password)
10. L'attaquant utilise ce jeton pour un accès administrateur persistant via l'API REST

Analyse du correctif (3.4.2)

Correctifs appliqués :

• Forcer le filtre application_password_is_api_request à true pour que la validation réelle du mot de passe ait lieu
• Vérifier que le résultat est une instance de WP_User (et non null)
• Utiliser hash_equals() pour vérifier la correspondance du nom d'utilisateur

De plus, check_auth_permission() du point de terminaison REST a été renforcée pour exiger current_user_can('manage_burst_statistics') et une vérification explicite du nonce pour les requêtes authentifiées par cookie.

Preuve de concept

cURL manuel

Outil d'exploitation Python

Le script exploit_burst_statistics.py automatise toute la chaîne d'attaque :

• Phase 0 : Détection de version via readme.txt, en-tête du plugin ou chaînes de requête des assets
• Phase 1 : Énumération des noms d'utilisateurs administrateurs via l'API REST, les pages d'auteurs ou une liste de noms d'utilisateurs courants
• Phase 2 : Contournement d'authentification avec X-BurstMainWP: 1 + fausse authentification Basic pour générer un jeton
• Phase 3 : Vérification du jeton et validation de sa structure
• Scan de masse : Analyse multi-cibles avec threads et journalisation en temps réel des cibles vulnérables

Fonctionnalités de l'exploit

• Non authentifié — aucun accès préalable requis
• Une seule requête HTTP pour générer un mot de passe d'application persistant
• Détection automatique de la version de Burst Statistics et saut des cibles corrigées
• Énumération automatique du nom d'utilisateur administrateur s'il n'est pas fourni
• Prise en charge des permaliens jolis (/wp-json/) et des permaliens non jolis (/?rest_route=)
• Scan de masse avec ThreadPoolExecutor
• Écriture en temps réel dans un fichier — les cibles vulnérables sont sauvegardées immédiatement sans attendre la fin du scan
• Verrouillage de fichier thread-safe

Utilisation

Cible unique (énumération automatique de l'administrateur)

Cible unique (nom d'utilisateur administrateur connu)

Scan de masse

Créez targets.txt :

Options

Recommandations de correction

Pour les développeurs et propriétaires de sites :

1. Mettez à jour immédiatement vers Burst Statistics 3.4.2 ou version ultérieure
2. Si la mise à jour est impossible, désactivez temporairement le plugin
3. Après la mise à jour, révoquez tous les mots de passe d'application existants pour les comptes administrateurs :
   • WP Admin → Utilisateurs → [Admin] → Mots de passe d'application → Révoquer tout
4. Vérifiez la présence de comptes administrateurs non autorisés ou de créations de comptes inattendues
5. Consultez les journaux du serveur pour les requêtes contenant l'en-tête X-BurstMainWP: 1

Chronologie

Chercheur

• Crédit : Chloe Chamberland — Wordfence PRISM

Références

• Avis Wordfence
• Enregistrement CVE
• Diff du correctif — class-mainwp-proxy.php
• NVD

Avertissement

Ces informations sont fournies à des fins éducatives et de tests de pénétration autorisés uniquement. L'exploitation non autorisée de systèmes informatiques est illégale et contraire à l'éthique. Obtenez toujours une autorisation écrite explicite avant de tester une cible qui ne vous appartient pas.