Een beveiligingslek in het populaire contentmanagementsysteem WordPress maakt het mogelijk voor een aanvaller om het wachtwoord van gebruikers te resetten en in het ergste geval de e-mail met de resetlink te onderscheppen. Het probleem werd bijna een jaar geleden door onderzoeker Dawid Golunski bij WordPress gerapporteerd, maar is nog altijd niet gepatcht.

Het probleem is dat een aanvaller de afzender van de resetmails die WordPress-sites versturen kan aanpassen. Zodoende kan een aanvaller voor de From- en Return-Path-velden zijn eigen domein en e-mailadres opgeven. De aanvaller moet in dit geval nog wel de resetmail in handen zien te krijgen, aangezien die nog altijd naar het e-mailadres van de WordPress-beheerder wordt gestuurd.

Hiervoor schetst Golunski verschillende scenario's, zoals het uitvoeren van een dos-aanval. Door het versturen van bijvoorbeeld grote bestanden raakt de mailbox van de beheerder vol, zodat die geen nieuwe e-mails meer accepteert. De resetmail kan in dit geval worden teruggestuurd naar de afzender, wat de aanvaller is die zijn adres als afzender van de resetmail heeft opgegeven. Golunski waarschuwde WordPress vorig jaar juli al, maar het probleem is nog altijd niet verholpen. Daarop heeft hij nu zijn bevindingen openbaar gemaakt.