WPML compromise cleanup.

§ 01 — EN QUOI CONSISTAIT LE BUG

Injection de template Twig depuis un rôle Contributor.

WPML utilise Twig pour rendre des parties de son pipeline de traduction. Un chemin de code passait du contenu sous le contrôle de l'utilisateur dans le moteur Twig sans échapper les primitives dangereuses. Avec accès au bon champ en tant que Contributor, un attaquant pouvait injecter de la syntaxe Twig et finalement invoquer des fonctions PHP, y compris celles qui écrivaient des fichiers.

Patchée en 4.6.13. Le correctif a réduit la sandbox Twig à un sous-ensemble plus sûr ; les sites qui ont mis à jour rapidement ont fermé la porte. La licence uniquement premium signifie que le déploiement des mises à jour dépendait du statut de licence de chaque propriétaire.

§ 02 — INDICATEURS

Ce que nous en faisons

• [ CONTENU ]

  Articles ou champs contenant des expressions Twig entre accolades et des appels à des classes runtime.

• [ UTILISATEURS ]

  Comptes Contributor créés à partir de septembre 2024 — en particulier via l'inscription ouverte. Recoupez avec les soumissions d'articles qui ont suivi chacun.

• [ FICHIERS ]

  Nouveau PHP dans wp-content/uploads/, fichiers de plugin/thème modifiés, nouveaux mu-plugins. Indicateurs de persistance RCE standard.

• [ OPTIONS ]

  Entrées autoload de wp_options ajoutées depuis la divulgation avec des noms inconnus ou des payloads encodés en base64.

§ TARIFS

Forfait $279. Une seule fois. Par site.