Al een aantal dagen vindt er een grootschalige aanval plaats tegen WordPress-sites, waarbij aanvallers via een XSS-kwetsbaarheid in een cookiebanner-plug-in kwaadaardige code proberen te injecteren, zo meldt securitybedrijf Wordfence. Het beveiligingslek bevindt zich in de Beautiful Cookie Consent Banner, een plug-in die op meer dan veertigduizend WordPress-sites is geïnstalleerd.

Via de banner kunnen websites toestemming vragen voor het plaatsen van cookies. "De plug-in zorgt ervoor dat je website klaar is voor allerlei cookiewetgeving", aldus de ontwikkelaar, die daarbij onder andere de AVG noemt. De plug-in is echter kwetsbaar voor stored cross-site scripting (XSS), waardoor een aanvaller kwaadaardige JavaScript in de website kan injecteren, die vervolgens in de browser van bezoekers wordt uitgevoerd.

Zo is het mogelijk voor aanvallers om bezoekers van de WordPress-site naar malafide websites door te sturen of een beheerdersaccount toe te voegen, aldus Wordfence. Details over de waargenomen aanvallen zijn niet gegeven, maar via stored XSS kunnen cookies van ingelogde gebruikers worden gestolen. De XSS-kwetsbaarheid werd in januari van dit jaar verholpen.

Wordfence heeft sinds 23 mei naar eigen zeggen aanvallen tegen meer dan 1,5 miljoen WordPress-sites waargenomen, waarbij werd geprobeerd om via het lek in de cookiebanner-plug-in code te injecteren. De aanvallen waren van bijna veertienduizend ip-adressen afkomstig. Beheerders wordt opgeroepen om de update te installeren mocht dat nog niet zijn gedaan. Uit cijfers van WordPress blijkt dat 54 procent de meest recente versie van de plug-in draait.