Duizenden WordPress-sites kwetsbaar door lek in Directorist-plug-in

[Captain Kirk]

Duizenden zakelijke WordPress-sites lopen risico via een kwetsbaarheid in de Directorist-plug-in te worden overgenomen door aanvallers. WordPress.org heeft de plug-in tijdelijk gesloten, waardoor gebruikers de update voor het probleem niet via het WordPress-dashboard kunnen installeren en dit handmatig moeten doen. Dat laat securitybedrijf Wordfence weten, dat beheerders adviseert de update zelf te installeren of anders de plug-in tijdelijk te verwijderen.

Directorist is een op bedrijven gerichte plug-in waarmee het mogelijk is om rubrieksadvertenties en allerlei lokale telefoongidsen, van bijvoorbeeld restaurants, hotels, makelaars, evenementen en andere zaken, aan de WordPress-site toe te voegen. Volgens ontwikkelaar Wpwax maken meer dan tienduizend bedrijven er gebruik van. Een kwetsbaarheid in de plug-in maakt het mogelijk voor bezoekers die zich als 'subscriber' hebben kunnen registeren om het wachtwoord van de beheerder aan te passen en zo toegang tot de website te krijgen.

Het beveiligingslek werd begin april door Wordfence aan de ontwikkelaar gemeld, maar die gaf geen reactie. Daarop besloot WordPress.org om de plug-in tijdelijk te sluiten voor verder onderzoek. Inmiddels is er een update beschikbaar, maar die kan door de tijdelijke sluiting op WordPress.org niet meer via het WordPress-dashboard worden geïnstalleerd, wat inhoudt dat beheerders dit handmatig moeten doen. Vanwege deze reden heeft Wordfence besloten geen uitgebreide details over het lek (CVE-2023-1888) te delen, waarvan de impact op een schaal van 1 tot en met 10 beoordeeld is met een 8.8.

 

bron: https://www.security.nl