Honderdduizenden WordPress-sites kwetsbaar door kritiek Forminator-lek

[Captain Kirk]

Honderdduizenden WordPress-sites zijn kwetsbaar voor aanvallen door een kritieke kwetsbaarheid in de Forminator-plug-in. Via de plug-in kunnen websites allerlei soorten webformulieren maken, zoals contactformulieren, polls, quizzen en betaalformulieren. Meer dan een half miljoen WordPress-sites maken gebruik van de plug--in. Die bevat echter een kritiek beveiligingslek waardoor een aanvaller gevaarlijke bestandstypes naar de webserver kan uploaden en uitvoeren.

De impact van dit beveiligingslek (CVE-2024-28890) is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. Volgens het Japanse Computer Emergency Response Team Coordination Center (JPCERT/CC), dat voor de kwetsbaarheid waarschuwt, is het probleem aanwezig in alle versies van de plug-in voor versie 1.29.0. Deze versie verscheen eind januari.

De ontwikkelaar maakt in de release notes echter geen melding van het oplossen van het probleem. Cijfers van WordPress.org laten zien dat zo'n 55 procent van de sites met Forminator gebruikmaakt van versie 1.29.0 of nieuwer, wat inhoudt dat een groot aantal nog kwetsbaar is. Als er wordt gekeken naar de dagelijkse downloads na het uitkomen van een nieuwe versie, dan blijkt dat zo'n tweehonderdduizend websites up-to-date zijn, waardoor het aantal kwetsbare sites nog veel groter zou zijn.

 

bron: https://www.security.nl