Le 21 juin 2025, j’ai reçu une alerte concernant une vulnérabilité de suppression arbitraire de fichiers dans SureForms, un plugin WordPress installé sur plus de 200 000 sites. Cette faille permet à des acteurs malveillants non authentifiés de spécifier des chemins de fichiers arbitraires dans une soumission de formulaire, entraînant la suppression du fichier lorsque la soumission est supprimée. Cela peut être exploité pour supprimer des fichiers critiques comme wp-config.php, ce qui peut conduire à une exécution de code à distance.
Je tiens à remercier Phat RiO – BlueRock pour avoir découvert et signalé cette vulnérabilité de manière responsable via le programme de bug bounty de Wordfence. Ce chercheur a reçu une récompense de 4 050 $ pour cette découverte. Mon objectif est de sécuriser WordPress grâce à une défense en profondeur, c’est pourquoi j’investis dans la recherche de vulnérabilités de qualité et je collabore avec des chercheurs de ce calibre. Je m’engage à rendre l’écosystème WordPress plus sûr grâce à la détection et à la prévention des vulnérabilités, un élément crucial de l’approche de sécurité multicouche.
Les utilisateurs de Wordfence Premium, Care et Response ont reçu une règle de pare-feu pour se protéger contre toute exploitation de cette vulnérabilité dès le 26 juin 2025. Les sites utilisant la version gratuite de Wordfence bénéficieront de la même protection 30 jours plus tard, le 26 juillet 2025.
J’ai contacté l’équipe de Brainstorm Force le 25 juin 2025 et j’ai reçu une réponse le lendemain. Après avoir fourni tous les détails, le développeur a publié le correctif le 30 juin 2025. Je tiens à féliciter l’équipe de Brainstorm Force pour sa réponse rapide et transparente.
L’équipe de Brainstorm Force a pris des mesures supplémentaires pour protéger ses utilisateurs avec des versions correctives sur 8 versions antérieures et a travaillé avec l’équipe des plugins WordPress pour effectuer une mise à jour forcée. La plupart des sites utilisant SureForms devraient être mis à jour vers une version corrigée. Cependant, je recommande aux utilisateurs de vérifier que leurs sites sont à jour avec l’une des versions corrigées (1.7.4, 1.6.5, 1.5.1, 1.4.5, 1.3.2, 1.2.5, 1.1.2, 1.0.7, 0.0.14) de SureForms dès que possible. L’organisation Brainstorm Force a fourni un exemple exemplaire de gestion des problèmes de sécurité à haut risque.
Résumé technique de la vulnérabilité
- Plugin : SureForms – Drag and Drop Form Builder for WordPress <= 1.7.3
- Vulnérabilité : Suppression arbitraire de fichiers non authentifiée via la suppression de soumission par l’administrateur
- Note CVSS : 8.8 (Élevée)
- CVE-ID : CVE-2025-6691
- Versions concernées : <= 1.7.3
- Versions corrigées : 1.7.4, 1.6.5, 1.5.1, 1.4.5, 1.3.2, 1.2.5, 1.1.2, 1.0.7, 0.0.14
Le plugin SureForms permet de créer facilement différents types de formulaires grâce à un constructeur par glisser-déposer. Cependant, une analyse du code révèle que la fonction delete_entry_files() ne valide pas correctement les chemins de fichiers, permettant ainsi à des attaquants non authentifiés de supprimer des fichiers arbitraires sur le serveur, y compris le fichier wp-config.php. Cela peut forcer le site à entrer dans un état de configuration, permettant à un attaquant de prendre le contrôle du site.
Analyse technique
SureForms utilise la fonction handle_form_entry() pour gérer les soumissions de formulaires et enregistrer les champs de soumission dans la base de données. Malheureusement, cette fonction ne vérifie pas les valeurs des champs de formulaire, permettant à un attaquant de soumettre un tableau de fichiers avec un chemin arbitraire. La fonction delete_entry_files() ne vérifie pas non plus les types de champs ou les extensions de fichiers, ce qui rend la vulnérabilité exploitable sur toute instance avec un formulaire actif.
Le correctif
Le fournisseur a corrigé ce problème en ajoutant une vérification de chemin de fichier avec la fonction delete_upload_file_from_subdir(), restreignant ainsi le chemin au sous-répertoire sureforms dans le répertoire des téléchargements de WordPress.
Conclusion
Dans cet article, j’ai détaillé une vulnérabilité de suppression arbitraire de fichiers dans le plugin SureForms affectant les versions 1.7.3 et antérieures. Cette vulnérabilité permet à des acteurs malveillants non authentifiés de supprimer des fichiers arbitraires sur le serveur, pouvant être exploités pour exécuter du code à distance et compromettre complètement le site. La vulnérabilité a été corrigée dans la version 1.7.4 du plugin, ainsi que dans 8 versions supplémentaires.
Je vous encourage à vérifier que vos sites WordPress sont mis à jour avec la dernière version corrigée de SureForms, compte tenu de la nature critique de cette vulnérabilité. Si vous connaissez quelqu’un qui utilise ce plugin, partagez cet avis pour garantir la sécurité de leur site. Assurez-vous également de vider le cache dans WordPress après avoir effectué les mises à jour, afin que les modifications prennent effet correctement. En outre, il est recommandé de surveiller régulièrement votre site pour détecter toute activité suspecte. Prendre ces mesures proactives contribuera à renforcer la sécurité globale de votre plateforme.
En tant qu’expert en réparation d’urgence WordPress, je propose une analyse complète, le nettoyage des malwares, la suppression des backdoors et le renforcement de la sécurité. Mon service de maintenance inclut l’installation d’antivirus, les mises à jour régulières, les sauvegardes et une surveillance 24/7, avec une option d’hébergement Premium en France. Pour optimiser votre visibilité en ligne, j’offre des services d’optimisation SEO technique, de stratégie éditoriale et de création de contenus ciblés. En parallèle, une évaluation de la sécurité WordPress est effectuée pour identifier les éventuelles vulnérabilités et assurer une protection maximale. De plus, des conseils personnalisés sont fournis pour renforcer la sécurité et la performance globale du site. Grâce à une approche proactive, il est possible de prévenir les attaques futures et d’assurer un fonctionnement optimal. Pour compléter ce dispositif, une analyse des menaces sur WordPress est systématiquement menée, permettant de détecter les risques potentiels avant qu’ils ne se matérialisent. Cette analyse approfondie, couplée à des recommandations spécifiques, garantit une résistance renforcée face aux cyberattaques. Ainsi, chaque client bénéficie d’une stratégie sur mesure, adaptée à ses besoins uniques et à l’évolution constante des menaces.
N’hésitez pas à me contacter pour sécuriser votre site WordPress et améliorer votre présence en ligne. Pour bénéficier d’une protection optimale contre les menaces en ligne, il est essentiel d’adopter des mesures proactives. En parallèle, vous pourrez débloquer votre site WordPress facilement afin de garantir une expérience utilisateur fluide. Ne laissez pas les failles de sécurité freiner votre potentiel ; agir maintenant est la clé de votre succès en ligne. Il est crucial de rester informé sur les vulnérabilités récentes de WordPress, car la négligence peut exposer votre site à des risques considérables. En effectuant des mises à jour régulières et en utilisant des plugins de sécurité fiables, vous réduisez significativement les chances d’attaques. En investissant dans la sécurité de votre site, vous protégez non seulement vos données, mais également la confiance de vos visiteurs. Il est crucial de connaître les vulnérabilités courantes dans WordPress pour prévenir les attaques potentielles. En mettant en œuvre des mises à jour régulières et en choisissant judicieusement vos plugins, vous réduirez considérablement les risques. Protéger votre site est un investissement essentiel pour construire une réputation solide en ligne.
