Wordfence a découvert un ensemble de vulnérabilités affectant les plugins Jupiter Theme et JupiterX Core pour WordPress, dont l'une est une faille critique d'élévation de privilèges.

Jupiter est un créateur de thème puissant et de haute qualité pour les sites WordPress, utilisé par plus de 90 000 blogs, magazines en ligne et plateformes populaires qui bénéficient d'un trafic important.

La vulnérabilité critique, suivie sous le nom de CVE-2022-1654 (score CVSS : 9.9), permet à tout utilisateur authentifié sur un site utilisant les plugins vulnérables d'obtenir des privilèges administratifs. Après l’exploitation réussite de cette faille, les attaquants (qui peuvent être des simples abonnés ou clients du site) peuvent effectuer des actions illimitées sur le site, y compris modifier son contenu, injecter des scripts malveillants ou le supprimer complètement.

Selon les chercheurs, le bogue réside dans une fonction nommée « uninstallTemplate », qui réinitialise le site après la suppression d'un thème.

La société a corrigé le problème en publiant des mises à jour Jupiter Theme 6.10.2, JupiterX Theme version 2.0.7 et JupiterX Core Plugin version 2.0.8.

La meilleure façon de résoudre les problèmes de sécurité est de mettre à jour les dernières versions disponibles dès que possible sur les sites vulnérables.