Vulnérabilité historique de WP Live Chat Support avant la version 8.0.27

Cet avis est historique et ne décrit pas une vulnérabilité actuelle de toutes les versions du plugin.

La vulnérabilité documentée par Sucuri touchait les versions de WP Live Chat Support antérieures à la 8.0.27. Elle permettait de modifier sans authentification l'option wplc_custom_js et d'injecter du JavaScript persistant, qui pouvait servir à rediriger les visiteurs. Il ne faut pas la confondre avec la CVE-2019-14950, qui décrit un autre XSS du même plugin via la page RGPD.

Si vous trouvez une version concernée, conservez d'abord les preuves, mettez le site en maintenance et mettez à jour ou réinstallez le composant depuis une source officielle. Vérifiez l'option concernée et le reste de l'installation, y compris les utilisateurs, les fichiers, la base de données et les journaux.

N'attribuez pas une redirection à ce plugin uniquement parce qu'il est installé : confirmez la version vulnérable et recherchez des preuves cohérentes. Si le composant actuel n'est plus le même projet ou n'a pas de maintenance fiable, préparez un remplacement et testez-le avant de le retirer.

Consultez aussi les conseils de sécurité pour WordPress.

La version 8.0.27 est citée comme correctif de cette faille de 2019, pas comme version recommandée aujourd'hui. N'installez pas un ancien paquet pour atteindre ce numéro. Identifiez le projet et sa maintenance actuels avant de le mettre à jour ou de le remplacer.

Si vous analysez une copie historique, conservez la valeur de l'option et son contexte avant de la corriger. Supprimer le JavaScript visible n'exclut pas d'autres modifications et ne règle pas l'accès qui a permis de l'introduire.