CVE-2019-25738
Vulnérabilité critique dans Hybrid Composer (framework-y)
CVSS 9.8 · Critique
EPSS 0.3%
framework-y•Hybrid Composer•Versions : 1.4.6
Description
WordPress Hybrid Composer 1.4.6 contains an unauthenticated settings change vulnerability that allows unauthenticated attackers to modify WordPress options by exploiting the hc_ajax_save_option action. Attackers can send POST requests to the admin-ajax.php endpoint with the action parameter set to hc_ajax_save_option to enable user registration and set the default role to administrator, enabling account takeover.
Gravité et risque d'exploitation
CVE-2019-25738 obtient un score CVSS de 9.8/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.35 %, ce qui la place devant 26.8 % des CVE référencées.
Que faire ?
- Vérifiez si Hybrid Composer (versions 1.4.6) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://www.exploit-db.com/exploits/47154
- http://wordpress.framework-y.com
- http://wordpress.framework-y.com/hybrid-composer/
- https://labs.sucuri.net/wptf-hybrid-composer-unauthenticated-arbitrary-options-update/
- https://www.vulncheck.com/advisories/wordpress-hybrid-composer-unauthenticated-settings-change