Duizenden WordPress-sites kwetsbaar door lek in Directorist-plug-in
Duizenden zakelijke WordPress-sites lopen risico via een kwetsbaarheid in de Directorist-plug-in te worden overgenomen door aanvallers. WordPress.org heeft de plug-in tijdelijk gesloten, waardoor gebruikers de update voor het probleem niet via het WordPress-dashboard kunnen installeren en dit handmatig moeten doen. Dat laat securitybedrijf Wordfence weten, dat beheerders adviseert de update zelf te installeren of anders de plug-in tijdelijk te verwijderen.
Directorist is een op bedrijven gerichte plug-in waarmee het mogelijk is om rubrieksadvertenties en allerlei lokale telefoongidsen, van bijvoorbeeld restaurants, hotels, makelaars, evenementen en andere zaken, aan de WordPress-site toe te voegen. Volgens ontwikkelaar Wpwax maken meer dan tienduizend bedrijven er gebruik van. Een kwetsbaarheid in de plug-in maakt het mogelijk voor bezoekers die zich als 'subscriber' hebben kunnen registeren om het wachtwoord van de beheerder aan te passen en zo toegang tot de website te krijgen.
Het beveiligingslek werd begin april door Wordfence aan de ontwikkelaar gemeld, maar die gaf geen reactie. Daarop besloot WordPress.org om de plug-in tijdelijk te sluiten voor verder onderzoek. Inmiddels is er een update beschikbaar, maar die kan door de tijdelijke sluiting op WordPress.org niet meer via het WordPress-dashboard worden geïnstalleerd, wat inhoudt dat beheerders dit handmatig moeten doen. Vanwege deze reden heeft Wordfence besloten geen uitgebreide details over het lek (CVE-2023-1888) te delen, waarvan de impact op een schaal van 1 tot en met 10 beoordeeld is met een 8.8.
Wat heeft u aan een dure en gelikte site, als er configuratiefouten zijn of de site niet op tijd van updates en patches wordt voorzien. Achterstallig onderhoud komt u in de k*nt bijten.
Die er verstand van hebben tellen niet mee en die er geen jota verstand van hebben, nemen de uiteindelijke beslissingen.
Veel ellende met plug-ins, soms user enumeration en directory listing later niet op disabled gezet.
Ook nog heel wat websites met verouderde CMS versies van Word Press.
Doe een scannetje hier: https://hackertarget.com/wordpress-security-scan/
luntrus
Je zou eerder hopen dat WordPress inmiddels een mechanisme heeft om centraal vanuit hun servers "kill bits" voor
plugins te zetten waardoor op alle sites die deze plugin geinstalleerd hebben deze inactief wordt.
DAAR zou je wat mee kunnen. Simpelweg "we halen deze weg van onze download site" daarmee bereik je helemaal niets.
"Security through obscurity".
Zeker zo in het geval van deze specifieke kwetsbaarheid:
https://access.redhat.com/errata/RHSA-2023:1888
Geen uitgebreide details geven over een zo'n evident gapend gat,
dat is "wat niet weet, dat niet deert"...maar ondertussen.
Het is als bij kleuters. Doe je handen voor je ogen en het is er niet meer.
Dat kan je op hele rare verassingen komen te staan.
Je zit immers zo in het verkeerde sprookje. :) ;)
luntrus
Je zou eerder hopen dat WordPress inmiddels een mechanisme heeft om centraal vanuit hun servers "kill bits" voor
plugins te zetten waardoor op alle sites die deze plugin geinstalleerd hebben deze inactief wordt.
DAAR zou je wat mee kunnen. Simpelweg "we halen deze weg van onze download site" daarmee bereik je helemaal niets.
Dan kun je Android beter afzeiken want er zitten heel veel foute en lekke aps in de winkel.
Wordpress zelf verwijderd deze plug-ins sneller dan Google.
Ik ben ook niet voor de Google vendor lock-in.
Kan niemand meer gewoon reageren zonder zich aangevallen te voelen. Teveel boe bah reacties hier de laatste tijd.
Supporting full open disclosure and keeping the community as secure as possible and not feeling the need to join the band-waggon of the FTB just for doing so.
luntrus
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.