Blog

Bug WordPress plugin vormt risico voor 200.000 webites


Afbeelding Bug WordPress plugin vormt risico voor 200.000 webites

Bug bij WordPress plugin vormt risico’s

Een bug in een WordPress plugin kan ertoe leiden dat hackers tot wel tweehonderdduizend sites geheel kunnen wissen. Daarnaast kunnen hackers zich via deze bug toegang verschaffen tot het beheerdersaccount van websites. Het lek bevindt zich in de plugin ‘ThemeGrill Demo Importer’. Deze plugin wordt meegeleverd met thema’s die worden verkocht door ThemeGrill, dit is een webontwikkelingsbedrijf dat WordPress thema’s verkoopt. Deze bewuste plugin is gemaakt om gebruikers de mogelijkheid te geven om ThemeGrill thema’s te importeren. Met deze thema’s hebben ze voorbeelden in huis en kunnen ze starten om een WordPress website te bouwen. Eigenaren van WordPress websites die gebruik maken van thema’s van ThemeGrill doen er goed aan om de bug in deze bewuste plugin te verhelpen, waardoor het voor hackers niet meer mogelijk is om via deze plugin binnen te dringen.

Beveiligingsbedrijf WebARX

WordPress beveiligingsbedrijf WebARX geeft aan in een rapport dat oudere versies van ThemeGrill Demo Importer kwetsbaar zijn voor externe aanvallen. Het lek heeft gevolgen voor alle versies van ThemoGrill Demo ImportHackers tussen versie 1.3.4 m 1.6. 1. Hackers gaan te werk door een speciaal vervaardigde payload te verzenden naar kwetsbare sites, hiermee activeren zij een functie in deze bewuste plugin. Hiermee kunnen zij de inhoud van een website leeghalen en daarmee feitelijk de hele website wissen. Als er op de database zich een gebruiker bevindt die de gebruikersnaam ‘admin’ gebruikt, krijgt de aanvaller ook nog eens de beschikking over alle gebruikersrechten. ThemeGrill heeft deze bug opgelost en deze in versie 16.2 verwerkt. Met deze versie kan er dus veilig worden gewerkt en kunnen hackers niet meer binnendringen via deze plugin.

Hackers wissen databases van websites

Voor de tweede keer dit jaar komt het nu voor dat een bug bekend is in een WordPress plugin, waarmee hackers databases van websites kunnen wissen. Wordfence maakte eerder een soortgelijk probleem bekend. Hierbij betrof het meer dan tachtigduizend websites waarop de betreffende plugin is geinstalleerd. Andere WordPress bugs in plugins die eerder al bekend werden gemaakt waren de plugin Codefragmenten (gebruikt door tweehonderdduizend websites), de GDPR Cookie Consent plugin (gebruikt door zevenhonderduizend websites) en de InfiniteWP plugin. (gebruikt door meer dan driehonderdduizend websites)

© WordPressOnderhoud.nl 2020 | Alle rechten voorbehouden | WordPress Onderhoud is onderdeel van Artitex