WordPress-sites die gebruikmaken van de plug-in User Profile Builder zijn door middel van een kritieke kwetsbaarheid volledig over te nemen. Een beveiligingsupdate is sinds 16 juli beschikbaar, maar duizenden websites hebben die niet geïnstalleerd. User Profile Builder is een plug-in voor gebruikersregistratie en gebruikersprofielen op WordPres-sites.
Het registratieformulier biedt ruimte voor gebruikersnamen met een maximale lengte van 70 karakters. WordPress core, de standaard WordPress-installatie, accepteert geen gebruikersnamen van meer dan 60 karakters. Het probleem is dat de plug-in de foutmelding van WordPress niet als een mislukte registratie behandelt. Het gaat gewoon door met de inlogprocedure en genereert uiteindelijk een 'autologin nonce' gekoppeld aan user ID 1. Dat is in de meeste gevallen de admin, aldus cybersecuritybedrijf Wordfence.
Via de kwetsbaarheid kan een ongeauthenticeerde zich registreren met een gebruikersnaam van 61 tot 70 karakters en vervolgens inloggen als admin, als die bestaat als user ID 1. Eenmaal ingelogd als admin kan de aanvaller extra admin-accounts aanmaken, malafide plug-ins of themes met backdoors installeren en gevoelige data stelen. Hoewel een update inmiddels een maand beschikbaar is blijkt uit cijfers van WordPress.org dat duizenden websites die missen. De CVSS-impactscore van het lek is beoordeeld met een 9.8 op een schaal van 1 tot en met 10.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Information Security en Data Privacy Officer
Toe aan een baan waar je een positieve impact maakt op de wereld om je heen? Waar je samen met collega’s een bijdrage levert aan minder afval en echt waarde toevoegt met jouw werk. Pak dan nu je kans en word onze nieuwe Information Security en Data Privacy Officer!
Senior IT Security Officer
Utrecht heeft jou nodig! Wil jij de gemeente Utrecht helpen beschermen tegen cyberdreigingen en datalekken? Als Senior IT Security Officer vertaal je beveiligingsbeleid naar technische oplossingen, voer je risicoanalyses uit en werk je aan innovatieve projecten om onze digitale veiligheid te versterken. Solliciteer nu!
