Met Buggy WordPress Plugin kunnen gebruikers hele websites wissen
Beveiligingsonderzoekers met Wordfence - een op beveiliging gerichte plug-in voor WordPress - vonden een kritieke bug in een andere plug-in voor het publicatieplatform. Het probleem werd opgemerkt in de HashThemes Demo Importer-add-on voor WordPress en de ernst van het probleem is vrij hoog.
Door de fout in de HashThemes Demo Importer-plug-in kon een gebruiker die zich heeft aangemeld bij het WordPress-platform en toegang heeft tot de backend van een website, alle inhoud volledig wissen, inclusief pagina's, artikelen en media, evenals de inhoud van databases die door de site worden gebruikt. Volgens statistieken hadden zo'n 8 duizend websites de plug-in actief toen de bug werd ontdekt.
Het oorspronkelijke doel van de demo-importer-plug-in is om op WordPress gebaseerde sitebeheerders demo's van visuele WordPress-thema's en -ontwerpen met een enkele klik te laten importeren. De plug-in versnelt het voorbeeldproces aanzienlijk en vereist geen handmatige verwerking van verschillende instellingsbestanden die mogelijk specifiek zijn voor de gebruikte site en het gebruikte thema.
Het team van Wordfence onthulde de bug volgens het gepaste protocol, maar de ontwikkelaar van de demo-importeur reageerde wekenlang niet. Ten slotte brachten de onderzoekers het probleem rechtstreeks naar het WordPress-plug-insteam en werd de defecte versie van de plug-in op dezelfde dag verwijderd. Vier dagen later werd er een gepatchte en gefixeerde versie teruggezet.
Wordfence legde uit dat het probleem met de plug-in lag in de manier waarop het Ajax gebruikte. Door de bug kon elke gebruiker die was ingelogd, zelfs gebruikers met zeer beperkte standaardrechten en toegang, zoals abonnees, drastische wijzigingen aanbrengen in de website, waaronder het volledig wissen van alle inhoud op de site waarop de plug-in wordt uitgevoerd.
De simpele conclusie hier is dat elke handige plug-in die u aan uw bestaande WordPress-setup wilt toevoegen, het potentiële oppervlak voor aanvallen vergroot. Rijkere functionaliteit en meer gebruiksgemak hoeven niet altijd ten koste te gaan van de beveiliging, maar met plug-ins van derden is er altijd de mogelijkheid dat er een paar scheurtjes aanwezig zijn en in het zicht verborgen zijn.
