Opnieuw zijn WordPress-sites het doelwit geworden van aanvallen op een zerodaylek in een plug-in. Het beveiligingslek, waarvoor nog geen patch beschikbaar is, bevindt zich in de plug-in Custom Searchable Data Entry System. Met deze plug-in kunnen websites via allerlei webformulieren data van hun bezoekers verzamelen en doorzoeken.

Volgens cijfers van WordPress is de plug-in op meer dan duizend websites actief, terwijl securitybedrijf Wordfence schat dat het om zo'n tweeduizend sites gaat. De kwetsbaarheid in de plug-in maakt het mogelijk voor aanvallers om alle data in de database aan te passen of te verwijderen. Aanvallers kunnen zo een eigen beheerder toevoegen en volledige controle over de site krijgen, of die van kwaadaardige code voorzien die wordt gebruikt om bezoekers aan te vallen.

Wordfence meldt dat het duizenden pogingen heeft waargenomen waarbij werd geprobeerd om de kwetsbaarheid aan te vallen. De ontwikkelaar is inmiddels ingelicht, maar een patch is nog altijd niet beschikbaar. De plug-in lijkt niet meer te worden onderhouden, aangezien de laatste update al meer dan een jaar oud is. Daarom heeft Wordfence besloten geen verdere details over de kwetsbaarheid te geven. Beheerders krijgen het advies de plug-in uit te schakelen.