Duizenden WordPress-sites zijn kwetsbaar door een kritiek beveiligingslek in de plug-in "wpDiscuz" waardoor een aanvaller willekeurige code op de server van kwetsbare sites kan uitvoeren. WpDiscuz voorziet WordPress-sites van uitgebreidere opties om gebruikers te laten reageren. Sinds versie 7 van de plug-in is het mogelijk om afbeeldingen te uploaden, die vervolgens in de reacties op de website worden weergegeven.

De controle die WpDiscuz op geüploade bestanden uitvoerde bleek eenvoudig te omzeilen. Daardoor was het mogelijk voor ongeauthenticeerde gebruikers om willekeurige bestanden te uploaden, waaronder PHP-bestanden. Zo zou een aanvaller willekeurige PHP-code op de server kunnen uitvoeren. In het ergste geval zou een aanvaller zo toegang tot alle websites kunnen krijgen die op de server worden gehost.

De kwetsbaarheid is op een schaal van 1 tot en met 10 wat betreft de impact met een 10 beoordeeld. Dat houdt in dat het beveiligingslek eenvoudig is te misbruiken. De kwetsbaarheid werd op 19 juni door securitybedrijf Wordfence aan de wpDiscuz-ontwikkelaars gemeld. Op 23 juli verscheen er een nieuwe versie van de plug-in waarin het beveiligingslek was verholpen. WpDiscuz draait op meer dan 80.000 WordPress-sites. De helft daarvan maakt gebruik van versie 7. Sinds het uitkomen van de nieuwe versie is de plug-in 30.000 keer gedownload, wat inhoudt dat duizenden WordPress-sites nog kwetsbaar zijn.

Nu de beveiligingsupdate beschikbaar is heeft Wordfence meer details over de kwetsbaarheid gegeven. Websites die de nieuwste versie nog niet hebben geïnstalleerd wordt dringen aangeraden dit zo spoedig mogelijk te doen. In februari van dit jaar werd een kwetsbaarheid in de plug-in Profile Builder, die ook een impactscore van 10 had, kort na het uitkomen van de beveiligingsupdate aangevallen.