WordPress-sites aangevallen via kritieke kwetsbaarheid in Jobmonster Theme

[Captain Kirk]

WordPress-sites zijn het doelwit van aanvallen waarbij misbruik wordt gemaakt van een kritieke kwetsbaarheid in het Jobmonster Theme, zo laat securitybedrijf Wordfence weten. Via dit theme is een WordPress-website eenvoudig in een vacaturesite te veranderen. Volgens de ontwikkelaars is het theme ruim vijfduizend keer verkocht. De software bevat een kwetsbaarheid in de inlogfunctie, waardoor de identiteit van een gebruiker die wil inloggen niet goed wordt geverifieerd.

Via het beveiligingslek kan een ongeauthenticeerde aanvaller de authenticatie omzeilen en toegang tot administrator- en gebruikersaccounts krijgen. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. De ontwikkelaars kwamen op 18 september met een update, maar in de release notes wordt nergens de aanwezigheid van het beveiligingslek gemeld. Wordfence waarschuwt dat aanvallers inmiddels actief misbruik van het lek maken. Misbruik van de kwetsbaarheid vereist wel dat de optie 'social login' staat ingeschakeld.

 

bron: https://www.security.nl