Des pirates exploitent une faille du plugin WordPress Gravity SMTP pour exposer des clés API.

Des acteurs malveillants exploitent une faille de sécurité récemment corrigée qui affecte Gravity SMTP, un plugin WordPress installé sur environ 100 000 sites.

La vulnérabilité, référencée CVE-2026-4020 (score CVSS : 5,3), est une faille de divulgation d’informations de gravité moyenne qui peut permettre à des attaquants non authentifiés d’extraire des données sensibles, telles que des données de configuration, des clés API, des secrets et des jetons OAuth configurés pour les intégrations de messagerie du plugin.

« Ceci est dû à un point de terminaison d’API REST enregistré à /wp-json/gravitysmtp/v1/tests/mock-data avec une fonction permission_callback qui renvoie inconditionnellement la valeur true, permettant ainsi à tout visiteur non authentifié d’y accéder », a déclaré Wordfence .

« Lorsque le paramètre de requête ?page=gravitysmtp-settings est ajouté, la méthode register_connector_data() du plugin remplit les données du connecteur interne, ce qui a pour effet que le point de terminaison renvoie environ 365 Ko de JSON contenant le rapport système complet. »

Par conséquent, un attaquant non authentifié peut exploiter cette faille pour récupérer un large éventail d’informations, notamment :

• Version PHP
• Extensions chargées
• Version serveur Web
• Chemin racine du document
• type et version du serveur de base de données
• Version WordPress
• Tous les plugins actifs avec leurs versions
• Thème actif
• Détails de configuration WordPress
• Noms des tables de la base de données
• Clés/jetons API configurés dans le plugin, tels que Amazon SES, Google, Mailjet, Resend et Zoho

Les attaquants pourraient alors exploiter cette vulnérabilité pour collecter des identifiants qui pourraient être utilisés abusivement pour envoyer des courriels au nom du site, ainsi que pour recueillir des informations détaillées sur l’architecture logicielle du site, ce qui pourrait servir de base à des attaques ultérieures.

« Comme pour toutes les vulnérabilités liées à l’exposition d’informations sensibles, l’impact dépend des données exposées », a ajouté Wordfence. « Dans ce cas précis, l’exposition d’identifiants d’API tiers actifs signifie qu’un attaquant pourrait exploiter les services de messagerie connectés au site, tandis que le rapport système détaillé réduit considérablement les efforts nécessaires pour planifier d’autres attaques contre le site. »

Un correctif pour cette vulnérabilité a été intégré à la version 2.1.5 du plugin. Des personnes malveillantes ont déjà exploité cette faille en envoyant des requêtes HTTP GET non authentifiées au point de terminaison vulnérable de l’API REST avec le paramètre de requête « ?page=gravitysmtp-settings », ce qui permet au serveur de renvoyer des informations précieuses sur le site sans exiger d’authentification.

Wordfence a bloqué à ce jour plus de 17 millions de tentatives d’exploitation de la vulnérabilité CVE-2026-4020. L’activité a débuté début mai 2026 avant de connaître une forte augmentation autour du 6 juin 2026, atteignant un pic de plus de 4 millions de requêtes par jour. Ces tentatives d’exploitation provenaient des adresses IP suivantes :

• 45.148.10.95
• 193.32.162.60
• 176.65.148.139
• 173.199.90.188
• 45.148.10.120
• 185.8.107.155
• 185.8.106.37
• 185.8.106.92
• 185.8.106.145
• 176.65.148.30

Les propriétaires de sites utilisant une version vulnérable du plugin Gravity SMTP et ayant configuré des intégrations de messagerie tierces doivent considérer leur système comme compromis et renouveler leurs identifiants dès que possible après la mise à jour du plugin vers la dernière version. Il est également conseillé de consulter les journaux du serveur afin de détecter toute requête suspecte adressée à l’API depuis les adresses IP mentionnées précédemment.