Vulnérabilité critique dans UiCore Elements : protégez votre site WordPress !
Je suis Benjamin Bueno, Expert en Sécurité WordPress chez SécuritéWP, et aujourd’hui, je souhaite vous alerter sur une faille de sécurité majeure qui a récemment touché plus de 40 000 sites WordPress utilisant le plugin UiCore Elements. Cette vulnérabilité, de type Arbitrary File Read, a permis à des attaquants non authentifiés de lire des fichiers sensibles sur les serveurs WordPress, exposant ainsi des données critiques comme le fichier wp-config.php.
Fonctionnement technique de la faille
La faille exploitait la fonction prepare_template du plugin UiCore Elements, accessible via la REST API de WordPress. Le problème principal venait de l’absence de vérification des permissions (permission_callback) lors de l’enregistrement de l’endpoint REST. Concrètement, cela signifiait que n’importe qui, même sans être connecté, pouvait envoyer une requête POST à l’API et demander la lecture de n’importe quel fichier du serveur.
Le code vulnérable ressemblait à ceci :
register_rest_route('uielem/v1', '/prepare_template', [
'methods' => 'POST',
'callback' => [$this, 'prepare_template'],
'permission_callback' => '__return_true',
]);
L’absence de contrôle sur permission_callback ouvrait la porte à des attaques automatisées. Un attaquant pouvait ainsi cibler le fichier wp-config.php, qui contient les identifiants de la base de données, les clés de sécurité et d’autres informations sensibles. Une fois ce fichier compromis, l’ensemble du site pouvait être pris en main par l’attaquant.
Risques concrets pour les sites WordPress
Les conséquences d’une telle faille sont dramatiques :
- Lecture de fichiers sensibles : accès à
wp-config.php, mais aussi à d’autres fichiers de configuration ou de logs. - Compromission totale du site : avec les identifiants de la base de données, un attaquant peut injecter du code malveillant, créer des comptes administrateurs ou voler les données des utilisateurs.
- Fuite de données personnelles : exposition des informations clients, ce qui peut entraîner des sanctions RGPD et nuire à la réputation de votre entreprise.
- Déclassement SEO : Google peut blacklister un site compromis, entraînant une chute de la visibilité en ligne.
Chronologie de la découverte et de la réponse
- 13 juin 2025 : Signalement de la faille par un chercheur via le programme de bug bounty Wordfence.
- 17 juin 2025 : Validation de la faille et création d’un proof-of-concept par Wordfence.
- 18 juin 2025 : Règle de pare-feu déployée pour les clients Wordfence Premium, Care et Response. Contact avec l’éditeur du plugin.
- 19 juin 2025 : L’équipe UiCore publie la version corrigée 1.3.1, après avoir reçu les détails techniques via le portail Wordfence.
- 18 juillet 2025 : Les utilisateurs de la version gratuite de Wordfence reçoivent la protection.
- 22 juillet 2025 : Patch complémentaire pour le plugin Elementor (dépendance technique).
Cette réactivité exemplaire a permis de limiter l’exploitation de la faille, mais de nombreux sites restent vulnérables faute de mise à jour.
Bonnes pratiques pour les sites WordPress français
En tant qu’expert, je recommande vivement :
- Mettez à jour immédiatement UiCore Elements en version 1.3.1 ou supérieure.
- Vérifiez que tous vos plugins et thèmes sont à jour.
- Activez un pare-feu applicatif (Wordfence, SecuPress, etc.) pour bloquer les requêtes malveillantes.
- Effectuez des sauvegardes régulières et stockez-les hors du serveur principal.
- Contrôlez les permissions des fichiers pour limiter l’accès aux données sensibles.
- Surveillez les logs d’accès et d’erreurs pour détecter toute activité suspecte.
Nos services pour une sécurité optimale
Chez SécuritéWP, nous proposons trois services phares pour garantir la sécurité et la performance de votre site WordPress :
- Réparation d’urgence WordPress : En cas d’attaque ou de compromission, nous intervenons rapidement pour analyser, nettoyer les malwares, supprimer les backdoors et renforcer la sécurité de votre site.
- Maintenance WordPress : Notre service inclut l’installation d’antivirus, les mises à jour régulières, les sauvegardes automatiques et une surveillance 24/7, avec la possibilité d’un hébergement Premium en France pour une tranquillité maximale.
- Optimisation SEO : Nous vous aidons à améliorer votre visibilité en ligne grâce à l’optimisation technique, la stratégie éditoriale et la création de contenus ciblés, tout en assurant la sécurité de votre site.
Conclusion
La faille Arbitrary File Read du plugin UiCore Elements rappelle à quel point la sécurité WordPress doit être une priorité. Ne laissez pas votre site devenir la prochaine victime : mettez à jour vos extensions, surveillez votre sécurité et faites-vous accompagner par des experts.
Vous souhaitez un audit, une intervention d’urgence ou optimiser la sécurité et la visibilité de votre site ? Contactez-moi dès aujourd’hui !
Benjamin Bueno, Expert en Sécurité WordPress chez SécuritéWP
