Le plugin eMagicOne Store Manager pour WooCommerce est utilisé dans WordPress pour simplifier et améliorer la gestion du magasin en fournissant des fonctionnalités introuvables dans l'interface d'administration normale de WooCommerce.
Deux failles graves, CVE-2025-5058 et CVE-2025-4603, ont été découvertes dans le plugin WordPress eMagicOne Store Manager pour WooCommerce. Possédant un score CVSS critique supérieur à 9. Ce n'est que dans certaines situations, telles que les configurations par défaut avec un mot de passe 1:1 ou si l'attaquant parvient à obtenir des informations d'identification légitimes, que l'attaquant peut exécuter du code à distance.
Versions concernées :
- Gestionnaire de boutique eMagicOne pour WooCommerce * <=2.5
Détails de la vulnérabilité :
- CVE-2025-5058 :
Le point de terminaison du protocole de gestion à distance du plugin (?connector=bridge), qui gère les téléchargements de fichiers, est vulnérable. La validation incorrecte du type de fichier par setimage() est à l'origine de la vulnérabilité. Le système de clé de session et les identifiants par défaut (login=1, password=1) sont utilisés par le mécanisme d'authentification.
Acquisition de la clé de session :
L'envoi d'une requête POST au point de terminaison du pont avec le hachage et une tâche (telle que get_version) génère une clé de session.
Téléchargement de fichier arbitraire :
Un attaquant peut utiliser la tâche set_image pour télécharger un fichier avec une clé de session valide, exploitant les paramètres pour écrire le fichier de son choix.
Conséquences dans le monde réel :
Cette faille permet aux attaquants de télécharger n'importe quel fichier sur le serveur du site compromis, ce qui peut entraîner l'exécution de code à distance. Lorsque les identifiants par défaut restent inchangés, des attaquants non authentifiés peuvent l'exploiter, ce qui aggrave considérablement les dégâts. Une exploitation réussie pourrait compromettre l'intégralité du serveur, donnant ainsi accès à des données privées, la possibilité d'exécuter du code malveillant ou d'autres compromissions.
- CVE-2025-4603 :
La fonction delete_file() du plugin eMagicOne Store Manager pour WooCommerce pour WordPress ne dispose pas d'une validation suffisante du chemin d'accès, ce qui la rend vulnérable à la suppression arbitraire de fichiers. Cela permet à des attaquants non autorisés de supprimer n'importe quel fichier du serveur, ce qui peut facilement entraîner l'exécution de code à distance si le fichier correct (comme wp-config.php) est supprimé. Les attaquants non authentifiés peuvent exploiter ce problème dans les installations par défaut.
Le point de terminaison du protocole de gestion à distance (?connector=bridge) du plugin, qui gère les activités de suppression de fichiers, est à l'origine de la vulnérabilité. Le système de clés de session et les identifiants par défaut (login=1, password=1) sont utilisés par le mécanisme d'authentification. Le hachage d'authentification par défaut, md5('1'. '1'), est calculé comme suit : c4ca4238a0b923820dcc509a6f75849b. Un attaquant peut utiliser la tâche delete_file pour supprimer des fichiers arbitraires de la racine WordPress ou de tout répertoire accessible après avoir obtenu une clé de session.
Acquisition de la clé de session :
L'envoi d'une requête POST au point de terminaison du pont avec le hachage et une tâche (telle que get_version) génère une clé de session.
Suppression arbitraire de fichiers :
Un attaquant peut utiliser la tâche delete_file pour supprimer un fichier s’il dispose d’une clé de session valide.
Conséquences dans le monde réel :
Si cette vulnérabilité est exploitée avec succès, des fichiers serveur importants comme wp-config.php pourraient être supprimés, perturbant potentiellement le site web et permettant l'exécution de code à distance. La disponibilité et l'intégrité de l'installation WordPress sont sérieusement menacées par la possibilité de supprimer des fichiers arbitraires.
Contre-mesures pour les deux CVE.
- Mettez immédiatement à jour leurs informations d’authentification à partir des valeurs par défaut.
- Il est recommandé de mettre à jour le plugin vers la dernière version 1.2.5 une fois qu'un correctif est disponible.
- Implémenter une validation stricte du téléchargement de fichiers pour CVE-2025-5058.
- Examinez et limitez les autorisations de téléchargement de fichiers côté serveur pour CVE-2025-5058.
En conclusion :
Les vulnérabilités CVE-2025-5058 et CVE-2025-4603 illustrent comment les configurations par défaut peuvent devenir un vecteur d'exposition involontaire de données. En exploitant une mauvaise gestion des fichiers et une validation insuffisante des chemins d'accès, un attaquant peut compromettre un site et entraîner l'exécution de code à distance. Des attaquants non authentifiés peuvent exploiter les identifiants par défaut s'ils ne sont pas modifiés, ce qui peut causer des dommages importants.
