Honderdduizenden WordPress-sites missen update voor lek in Forminator Forms

[Captain Kirk]

Honderdduizenden WordPress-sites missen een beveiligingsupdate voor een kritieke kwetsbaarheid in de plug-in Forminator Forms. Via het beveiligingslek kan een ongeauthenticeerde aanvaller willekeurige bestanden naar de webserver uploaden en afhankelijk van de gebruikte configuratie ook op de server uitvoeren. Zodoende kan er volledige controle over de website worden verkregen en zijn allerlei verdere aanvallen mogelijk.

Forminator Forms is een plug-in waarmee WordPress-beheerders eenvoudig contactformulieren, betaalformulieren en andere webformulieren kunnen maken, alsmede polls, quizzen en de mogelijkheid voor het uploaden van bestanden. Meer dan 600.000 WordPress-sites maken er gebruik van. Een kwetsbaarheid in de plug-in maakt het mogelijk voor een ongeauthenticeerde aanvaller om PHP-bestanden naar de webserver te uploaden. Dit is mede mogelijk doordat de controle op gevaarlijke bestandstypes die worden geupload niet waterdicht is.

In de standaarconfiguratie worden bestanden geupload naar een directory die via een .htaccess bestand is beveiligd en zo het uitvoeren van PHP-code voorkomt. Als een WordPress-beheerder echter een aparte directory voor geuploade bestanden heeft ingesteld, kan het zijn dat de .htaccess hier niet op van toepassing is, laat cybersecuritybedrijf Wordfence weten. Dat heeft nu de technische details van het probleem openbaar gemaakt.

De ontwikkelaar van Forminator Forms kwam op 30 juli met versie 1.56.2 waarin het probleem is verholpen. Uit cijfers van WordPress.org blijkt dat zo'n 350.000 websites de update niet hebben geïnstalleerd en zodoende risico lopen.

 

bron: https://www.security.nl