Een beveiligingslek bij hostingprovider Wix.com zorgt ervoor dat miljoenen websites risico lopen, zo waarschuwen onderzoekers van beveiligingsbedrijf Contrast Security. Via Wix kunnen mensen eenvoudig een eigen website maken. De hostingprovider zou zo'n 86 miljoen geregistreerde gebruikers hebben.Wix.com bevat echter een kwetsbaarheid waardoor een aanvaller gehoste websites kan overnemen door de sessie van ingelogde Wix-gebruikers te stelen. Door het toevoegen van een enkele parameter aan een Wix-site kan de aanvaller ervoor zorgen dat zijn kwaadaardige JavaScript wordt geladen als onderdeel van de website. De kwetsbaarheid maakt het ook mogelijk om een worm te maken die zich via het lek kan verspreiden en de inloggegevens van Wix-sites kan stelen.

Een aanvaller zou hiervoor een eigen Wix-website kunnen registreren met kwaadaardige code die misbruik van de kwetsbaarheid maakt. Vervolgens moet de aanvaller de beheerder van een willekeurige Wix-site naar zijn eigen kwaadaardige Wix-site zien te lokken. Als deze beheerder op het moment dat hij de kwaadaardige Wix-site bezoekt op zijn eigen Wix-site is ingelogd, zal de kwaadaardige code ook aan zijn website worden toegevoegd.

Alle ingelogde beheerders van Wix-sites die vervolgens deze website bezoeken kunnen ook weer besmet raken en de kwaadaardige code op hun eigen website krijgen. De gehackte websites kunnen verder voor het verspreiden van malware, advertentiefraude en phishing worden gebruikt. Op 11 oktober werd Wix over het probleem ingelicht, maar een update en verdere communicatie over het probleem bleven uit. Daarom hebben de onderzoekers nu hun bevindingen online gezet.