De WordPress-plugin ‘Simple Social Buttons’ bevat een beveiligingslek die het hackers mogelijk maakt wijzigingen aan te brengen in de belangrijkste instellingen van een WordPress-site. Gebruikers dienen de plug-in zo spoedig mogelijk te voorzien van update versie 2.0.22. Dit zegt Luka Å ikić, ontwikkelaar en onderzoeker bij het WordPress beveiligingsbedrijf WebARX.
Šikić ontdekte volgens ZDnet afgelopen week het beveiligingslek en publiceerde gisteren zijn bevindingen in een rapport. Daarin laat hij weten dat een aanvaller die nieuwe accounts op een site kan registreren, het beveiligingslek kan misbruiken om wijzigingen aan te brengen in de belangrijkste instellingen van een WordPress-site. Zo kan een website bijvoorbeeld worden overgenomen door backdoors te installeren of beheerdersaccounts over te nemen.
Ruim 40.000 gebruikers
WPBrigade, maker van de plug-in, aarzelde geen moment en bracht een dag nadat ze door Å ikić werden benaderd een patch uit. Met het installeren van de op vrijdag 8 februari uitgebrachte update versie 2.0.22 van ‘Simple Social Buttons’ wordt het beveiligingslek naar eigen zeggen gedicht.
We benadrukken om niet al te lichtzinnig om te gaan met het gevonden lek. Volgens de statistieken van de WordPress Plug-ins repository hebben ruim 40.000 websites deze plug-in geïnstalleerd. De gevolgen bij een eventuele aanval zouden naar eigen zeggen zeer omvangrijk kunnen zijn. Wel zouden een aantal websites zichzelf al beveiligd hebben tegen dit type beveiligingslekken. Een aantal beheerders zou de gebruikersregistratie vanwege beveiligingsredenen namelijk al geblokkeerd hebben. Daarentegen zijn sites die gebruikers juist wél laten registreren om blogposts te plaatsen zeer kwetsbaar voor aanvallen. Het updaten van de plug-in is in deze gevallen dan ook noodzakelijk.
Demovideo
Šikić plaatste gisteren een demovideo op YouTube om te laten zien hoe gevaarlijk de kwetsbaarheid is. Als voorbeeld wijzigt hij het e-mailadres dat gekoppeld is aan een beheerdersaccount van een WordPress-site:
Eind januari ontdekte WordPress-beveiligingsbedrijf Defiant ook al een kwetsbaarheid in een andere plugin, genaamd ‘Total Donations‘. Hier werd zelfs geadviseerd de plug-in helemaal te verwijderen. Hackers zouden namelijk een niet-gepatchte kwetsbaarheid in de code kunnen misbruiken om zo de site over te nemen.
CodeCanyon, ontwikkelaar van de betaalde plug-in, is sinds mei 2018 inactief. Ook zijn er geen updates voor gerapporteerde bugs meer verschenen en kreeg het beveiligingsbedrijf geen contact met de ontwikkelaar. Eind december ontdekte Defiant binnen een week ook nog twee andere plug-ins met kwetsbaarheden.
Gerelateerd: WordPress stopt met ondersteuning verouderde PHP-versies