Une faille de s\u00e9curit\u00e9 de haute s\u00e9v\u00e9rit\u00e9 nouvellement divulgu\u00e9e impactant Ottokit<\/a> (anciennement Suregriggers) a fait l’objet d’une exploitation active dans les quelques heures suivant la divulgation publique.<\/p>\n La vuln\u00e9rabilit\u00e9, suivie comme CVE-2025-3102<\/strong> (CVSS Score: 8.1), est un bogue de contournement d’autorisation qui pourrait permettre \u00e0 un attaquant de cr\u00e9er des comptes d’administrateur dans certaines conditions et de prendre le contr\u00f4le des sites Web sensibles.<\/p>\n “Le plugin de plate-forme d’automatisation SURETRGRIGHERS: tout-en-un pour WordPress est vuln\u00e9rable \u00e0 un contournement d’authentification conduisant \u00e0 la cr\u00e9ation de compte administratif en raison d’une v\u00e9rification de valeur vide manquante sur la valeur ‘Secret_key’ dans la fonction ‘Authetatentiat_User’ dans toutes les versions jusqu’\u00e0 et incluant, 1.0.78 ” dit<\/a>.<\/p>\n “Cela permet aux attaquants non authentifi\u00e9s de cr\u00e9er des comptes d’administrateur sur le site Web cible lorsque le plugin est install\u00e9 et activ\u00e9 mais non configur\u00e9 avec une cl\u00e9 API.”<\/p>\n Une exploitation r\u00e9ussie de la vuln\u00e9rabilit\u00e9 pourrait permettre \u00e0 un attaquant de prendre un contr\u00f4le complet sur un site WordPress et de tirer parti de l’acc\u00e8s non autoris\u00e9 pour t\u00e9l\u00e9charger des plugins arbitraires, apporter des modifications malveillantes pour servir les logiciels malveillants ou le spam, et m\u00eame rediriger les visiteurs du site vers d’autres sites Web sommaires.<\/p>\n Chercheur en s\u00e9curit\u00e9 Michael Mazzolini<\/a> (AKA Mikemyers) a \u00e9t\u00e9 reconnu pour d\u00e9couvrir et signaler la faille le 13 mars 2025. La question a \u00e9t\u00e9 abord\u00e9e dans Version 1.0.79<\/a> du plugin sorti le 3 avril 2025.<\/p>\n Ottokit offre aux utilisateurs WordPress de connecter diff\u00e9rentes applications et plugins via des workflows qui peuvent \u00eatre utilis\u00e9s pour automatiser les t\u00e2ches r\u00e9p\u00e9titives. <\/p>\n Bien que le plugin dispose de plus de 100 000 installations actives, il convient de noter que seul un sous-ensemble des sites Web est en fait exploitable en raison du fait qu’il d\u00e9pend du plugin pour \u00eatre dans un \u00e9tat non configur\u00e9 malgr\u00e9 l’installation et l’activation.<\/p>\n Cela dit, les attaquants ont d\u00e9j\u00e0 saut\u00e9 dans le train d’exploitation, tentant de capitaliser rapidement sur la divulgation pour cr\u00e9er des comptes d’administrateur faux avec le nom “XTW1838783BC”, par patchstack.<\/p>\n “Puisqu’il est randomis\u00e9, il est tr\u00e8s susceptible de supposer que le nom d’utilisateur, le mot de passe et les alias par e-mail seront diff\u00e9rents pour chaque tentative d’exploitation”, la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 WordPress dit<\/a>.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/04\/Vulnerabilite-de-creation-dadministration-du-plugin-WordPress-Ottokit-sous-exploitation.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n