CVE-2024-3562
Publiée le 2024-06-20 · Dernière modification le 2026-06-17
Les sites WordPress utilisant l'extension Custom Field Suite (version 2.6.7 et versions antérieures) sont susceptibles de subir une exécution de code à distance. Un attaquant disposant d'un accès au niveau « contributeur » peut injecter du code PHP malveillant dans le champ personnalisé Loop pour prendre le contrôle total du serveur. Cette exploitation est relativement facile à réaliser via le réseau et ne nécessite qu'un identifiant de connexion valide, sans qu'aucune action de l'utilisateur (comme cliquer sur un lien) ne soit requise.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Custom Field Suite plugin for WordPress is vulnerable to PHP Code Injection in all versions up to, and including, 2.6.7 via the Loop custom field. This is due to insufficient sanitization of input prior to being used in a call to the eval() function. This makes it possible for authenticated attackers, with contributor-level access and above, to execute arbitrary PHP code on the server.