Kritiek Jetpack-lek laat aanvaller gebruikersdata op WordPress-sites stelen

[Captain Kirk]

Een kritieke kwetsbaarheid in de populaire WordPressplug-in Jetpack maakt het mogelijk voor aanvallers om gebruikersdata van websites te stelen. Er zijn updates uitgebracht om het probleem te verhelpen. Jetpack is een door Automattic ontwikkelde plug-in voor het maken en terugzetten van back-ups, blokkeren van spam, scannen op malware, monitoren van up- en downtime, beschermen tegen bruteforce-aanvallen en het inschakelen van tweefactorauthenticatie. Meer dan vier miljoen websites maken er gebruik van.

Automattic is het hostingbedrijf achter WordPress.com. Een kwetsbaarheid die sinds 2016 in de plug-in aanwezig is maakt het mogelijk voor ingelogde gebruikers om ingevulde webformulieren van bezoekers te lezen. De kwetsbaarheid bevindt zich in een optie van Jetpack voor het toevoegen van web- en contactformulieren. Volgens Automattic zijn er geen aanwijzingen dat er misbruik van het lek is gemaakt, maar nu er updates beschikbaar zijn bestaat het risico dat dit wel gaat gebeuren. WordPress-beheerders worden opgeroepen de update te installeren, maar op de meeste sites zal dit automatisch gebeuren, aldus Automattic.

 

bron: https://www.security.nl