WordPress-sites aangevallen via kritiek lek in OttoKit-plug-in

[Captain Kirk]

WordPress-sites worden aangevallen via een kritieke kwetsbaarheid in de plug-in OttoKit, die eerder nog bekend stond als SureTriggers. Via het beveiligingslek kan een ongeauthenticeerde aanvaller admintoegang tot de website krijgen. De impact van de kwetsbaarheid (CVE-2025-27007) is op een schaal van 1 tot en met 10 beoordeeld met een 9.8.

OttoKit is een automatiseringsplatform dat processen tussen verschillende websites, applicaties en WordPress-plug-ins automatiseert. Meer dan honderdduizend WordPress-sites maken er actief gebruik van, aldus cijfers van WordPress.org. Kwetsbaarheid CVE-2025-27007 wordt veroorzaakt doordat de plug-in inloggegevens van gebruikers onvoldoende verifieert. Dit maakt het mogelijk voor ongeauthenticeerde aanvallers om een verbinding op te zetten en uiteindelijk hun rechten naar die van admin te verhogen.

Misbruik is volgens securitybedrijf Wordfence in twee scenario's mogelijk. Het eerste scenario is wanneer de website nooit een applicatiewachtwoord heeft ingeschakeld of gebruikt en OttoKit/SureTriggers nooit via een applicatiewachtwoord met de website verbinding heeft gemaakt. Wanneer sites verbinding al met een applicatiewachtwoord verbinding met OttoKit/SureTriggers hebben gemaakt is een aanval door een ongeauthenticeerde aanvaller niet mogelijk.

Het tweede scenario doet zich voor wanneer een aanvaller zich al bij een website kan authenticeren en een applicatiewachtwoord kan genereren. Bij de nu waargenomen aanvallen proberen aanvallers het eerste scenario om zo een nieuwe admin aan te maken. Websites die van de plug-in gebruikmaken wordt dan ook aangeraden om de beschikbaar gestelde update te installeren en op de aanwezigheid van onbekende admins te controleren.

Vorige maand gebruikten aanvallers ook een ander beveiligingslek (CVE-2025-3102) in OttoKit/SureTriggers voor het aanvallen van websites. Wordfence stelt dat bij de nu waargenomen aanvallen beide kwetsbaarheden worden gebruikt. Op maandag 21 april verscheen versie 1.0.83 waarin het probleem is verholpen. Aanvallen vinden volgens Wordfence sinds 2 mei plaats. Uit cijfers van WordPress.org blijkt dat tienduizenden websites nog niet up-to-date zijn.

 

bron: https://www.security.nl