650.000 WordPress-sites kwetsbaar door lek in WP Fastest Cache

[Captain Kirk]

Zo'n 650.000 WordPress-sites lopen door een kwetsbaarheid in de plug-in WP Fastest Cache risico om door kwaadwillenden te worden overgenomen. WP Fastest Cache is een plug-in die ervoor moet zorgen dat WordPress-sites sneller worden geladen. Het is op meer dan één miljoen websites geïnstalleerd.

Onderzoekers van Jetpack ontdekten twee kwetsbaarheden in de plug-in. De eerste kwetsbaarheid betreft geauthenticeerde SQL-injection en zorgt ervoor dat een aanvaller toegang tot de database kan krijgen, om zo bijvoorbeeld gebruikersnamen en gehashte wachtwoorden te stelen. De aanval is alleen mogelijk wanneer de classic-editor plug-in ook op de website actief is.

De tweede kwetsbaarheid, aangeduid als CVE-2021-24869, betreft stored cross-site scripting (XSS) en cross-site request forgery (CSRF). Via dit beveiligingslek kan een aanvaller dezelfde acties als een ingelogde beheerder uitvoeren en zo volledige controle over de website krijgen. De impact van deze kwetsbaarheid is op een schaal van 1 tot en met 10 met een 9,6 beoordeeld.

Jetpack waarschuwde de ontwikkelaar van WP Fastest Cache op 29 september. Vervolgens verscheen op 11 oktober versie 0.9.5 waarin de kwetsbaarheden zijn verholpen. Sinds het uitkomen van de nieuwe versie is WP Fastest Cache zo'n 354.000 keer gedownload, wat inhoudt dat nog zo'n 650.000 WordPress-sites niet zijn bijgewerkt met de nieuwste versie van de plug-in.

 

bron: https://www.security.nl