Kritiek lek in WordPress-plug-in laat aanvaller wachtwoord admin wijzigen
Een kritieke kwetsbaarheid in de WordPress-plug-in UserPro maakt het mogelijk voor aanvallers om het wachtwoord van elke willekeurige gebruiker te wijzigen, waaronder de admin, en zo de site over te nemen. De ontwikkelaars van UserPro, dat op meer dan twintigduizend websites is geïnstalleerd, werden op 10 mei ingelicht en kwamen op 31 oktober met een patch die het probleem volledig verhelpt.
UserPro biedt WordPress-sites extra gebruikersbeheer, zoals aangepaste registratieformulieren en inlogvensters. Een beveiligingslek in de plug-in, aangeduid als CVE-2023-2449, maakt het mogelijk voor aanvallers om de wachtwoorden van alle gebruikers te wijzigen. Het probleem wordt veroorzaakt doordat de plug-in de standaard wachtwoordresetfunctie van WordPress gebruikt gecombineerd met onvoldoende validatie van de resetfunctie.
"De functie gebruikt de plaintext waarde van de wachtwoordreset-key in plaats van een gehashte waarde, wat inhoudt dat die eenvoudig is te achterhalen en te gebruiken", aldus securitybedrijf Wordfence dat het probleem ontdekte en rapporteerde. Om misbruik van CVE-2023-2449 te kunnen maken moet een aanvaller wel over een andere kwetsbaarheid beschikken, maar twee van dergelijke lekken werden ook door Wordfence ontdekt.
Nadat de ontwikkelaars op 10 mei waren ingelicht kwamen die op 27 juli met een gedeeltelijke oplossing. Op 31 oktober verscheen versie 5.1.5 van de plug-in waarin het probleem volledig is verholpen. Wordfence heeft de details nu openbaar gemaakt. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.8.
Gevaar van niet op tijd updaten en upgraden.
Veel Word Press sites worden niet goed geconfigureerd
(user enumeration en directory listing later niet ge-disabled),
verder het draaien van veel onveilige of niet-bijgehouden plug-ins.
Check je site met een quick-and-dirty scan hier: https://hackertarget.com/wordpress-security-scan/
Wat brengt een dure en gelikte site, waar later geen onderhoud meer op/aan wordt gepleegd?
Dat is zonde van het geld en kost je op den duur meer dan het oplevert.
luntrus
Gevaar van niet op tijd updaten en upgraden.
Veel Word Press sites worden niet goed geconfigureerd
(user enumeration en directory listing later niet ge-disabled),
verder het draaien van veel onveilige of niet-bijgehouden plug-ins.
Check je site met een quick-and-dirty scan hier: https://hackertarget.com/wordpress-security-scan/
Wat brengt een dure en gelikte site, waar later geen onderhoud meer op/aan wordt gepleegd?
Dat is zonde van het geld en kost je op den duur meer dan het oplevert.
luntrus
Het probleem is alleen dat je vaak stront eigenwijze klanten hebt die geen managed hosting willen afnemen en vervolgens niet monitoren of alle technieken nog wel doen wat ze moeten doen nog vendor news lezen of laat staan ontvangen.
als je er later dan geen onderhoud op/aan wilt plegen?
Onderhoud is overal in Nederland het ondergeschoven kindje.
Roltrappen in storing of uitgezet, gaat u maar lopen met uw zware koffer.
Onderhoudsmonteur zit thuis of is ziek.
Waarom ligt heel Nederland en de omgeving ervan op apegapen?
Het blijft oorverdovend stil.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
