Een kwetsbaarheid in een populaire "Learning Management System" (LMS) plug-in voor WordPress maakt het mogelijk voor een aanvaller om het wachtwoord van elke gebruiker te resetten, waaronder de beheerder. LearnDash LMS is een plug-in die op meer dan 100.000 websites is geïnstalleerd en het mogelijk maakt een online leeromgeving op te zetten met cursussen en trainingen.

Een IDOR-kwetsbaarheid maakt het mogelijk voor aanvallers om het wachtwoord van elke willekeurige wachtwoord te wijzigen. IDOR staat voor Insecure Direct Object Reference (IDOR) en doet zich bijvoorbeeld voor wanneer een webapplicatie of API een identifier gebruikt om een object in een database op te vragen zonder authenticatie of andere vorm van toegangscontrole. Zo kan een gebruiker door het aanpassen van bepaalde data toegang tot de gegevens van andere gebruikers krijgen. Ondanks de eenvoud van IDOR-kwetsbaarheden komen die nog altijd geregeld voor.

In het geval van LearnDash LMS biedt de plug-in de optie voor gebruikers om via een webformulier hun wachtwoord te wijzigen. Daarbij wordt er een e-mail met resetlink en "activation key" verstuurd. De link wijst weer naar een pagina om het wachtwoord op de WordPress-site te resetten. De plug-in controleert alleen bij het laden van de resetpagina of de activation key bij de betreffende gebruiker hoort. Bij het uitvoeren van de wachtwoordreset blijkt de plug-in de activation key niet te controleren en is het mogelijk om een andere gebruiker op te geven waarvan het wachtwoord wordt gewijzigd.

De kwetsbaarheid is aanwezig in versie 4.6.0 en eerder en werd gevonden door securitybedrijf Wordfence. Dat waarschuwde de ontwikkelaar op 5 juni, die op 6 juni met een update kwam. Wordfence heeft vandaag de details van de kwetsbaarheid openbaar gemaakt. De impact van het beveiligingslek is op een schaal van 1 tot en met 10 beoordeeld met een 8.8.