Wordpress: Kritisk Säkerhetsproblem i Plug-in Custom kontaktformulär

På grund av ett programmeringsfel i plug-in, kan en angripare ta fullständig installation av bloggprogram. Utvecklarna av programvaran svarade visserligen inte på problemet.


Wordpress admins som använt plug-in Custom kontaktformulär, bör så snart som möjligt att installera ett nu släppt säkerhetsuppdatering. En lucka i plug-in gör det möjligt för en angripare att hämta en del av databasen för Wordpress installationen för att skapa nya SQL-frågor och databasen sedan ladda upp igen. Detta gör det möjligt för angripare att skapa dig en admin-användare och ta på Wordpress installation. Dessutom kan databasen modifieras efter behag. Forskare vid företaget Sucuri hade upptäckt gapet och informerar plug-in utvecklare. Problemet är baserad på samma programmeringsfel som den nyligen upptäckt sårbarhet i Mail Poet plug-in. Däremot ville utvecklarna inte. Först när Sucuri aktiverat säkerhetsgruppen av Wordpress i sig, var säkerhetshål stängd. Alla utgåvor av plug-ins till version 5.1.0.3 är sårbara. Den nu publicerade versionen 5.1.0.4 stänger luckan. Anpassat kontaktformulär har laddats ner långt mer än en halv miljon gånger. Med tanke på den nedslående svar av utvecklaren Sucuri att användare av teknologi till en annan kontakt plug-in för att uppgradera. Två alternativ kallas av forskarna Jetpack by Wordpress.com och betalningsinsticks Gravity Forms.