XSS dans WPML avec l’entête Accept-Language

WPML est un célèbre plugin payant de multi-langues pour WordPress.

Le 31 août 2015 la version 3.2.7 corrige une faille XSS présente depuis la 2.9.3.

Le fichier touché est ajax.php à la racine du plugin, le code en question est:

case 'get_browser_language':
	$http_accept_language            = $_SERVER[ 'HTTP_ACCEPT_LANGUAGE' ];
	$accepted_languages              = explode( ';', $http_accept_language );
	$default_accepted_language       = $accepted_languages[ 0 ];
	$default_accepted_language_codes = explode( ',', $default_accepted_language );
	echo wpml_mb_strtolower( $default_accepted_language_codes[ 0 ] );
exit;

Le soucis est qu’aucun traitement n’ai fait sur cette chaîne à afficher, il est alors simple de modifier une entête de requête HTTP afin d’y insérer du code JS qui sera executé, voir du code PHP complet qui pourrait être inclus via une autre faille type LFI (Local File Inclusion – Inclusion de fichier local).

La version 3.2.7 corrige cette faille en ajoutant une désinfection (sanitize) des données à afficher.

À propos de Julio Potier Tous les articles de Julio Potier

Créateur de SecuPress et de la Formation LearnWPSecurity, Julio est aussi organisateur du WordCamp Lille.
Orateur compulsif, formateur sénior et ingénieur WordPress, il s’est spécialisé dans la sécurité depuis 2002 et contribue à WordPress sous diverses formes.