Lek in WordPressplug-in LatePoint laat aanvaller adminwachtwoord wijzigen
Een kwetsbaarheid in de WordPressplug-in LatePoint, die op duizenden websites actief is, laat aanvallers door middel van SQL Injection het adminwachtwoord wijzigen, om zo de website volledig over te nemen. Via LatePoint kunnen WordPress-sites online reserveringen en afspraken van gebruikers beheren. De plug-in zou op meer dan zevenduizend websites geïnstalleerd zijn, meldt securitybedrijf Wordfence.
Onderzoekers vonden twee kritieke kwetsbaarheden in de plug-in. Het eerste probleem wordt veroorzaakt door het onvoldoende escapen van gebruikersinvoer, waardoor SQL Injection mogelijk is. Dit zorgt ervoor dat een ongeauthenticeerde aanvaller van elk account, waaronder de beheerder, het wachtwoord kan wijzigen. Voorwaarde voor misbruik is wel dat de optie 'Use WordPress users as customers' actief is, die standaard niet ingeschakeld staat.
Het tweede probleem zorgt ervoor dat een gebruiker als elke gebruiker kan inloggen, waaronder de beheerder, als het 'user id' bekend is. Wederom moet de optie 'Use WordPress users as customers' zijn ingeschakeld. De impact van beide kwetsbaarheden is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. De ontwikkelaars van LatePoint kwamen op 24 september met een volledige update. Daarop heeft Wordfence nu de details openbaar gemaakt. Het gaat hier om een commerciële plug-in, waardoor er geen cijfers zichtbaar zijn van hoeveel sites niet up-to-date zijn, zoals met plug-ins op WordPress.org wel het geval is.
Maar met user enumeration en directory listing op enabled laten staan, gaat dit nog gemakkelijker.
Deactiveren en de boel up to date houden hoeft niet denkt men, ik draai toch achter CloudFlare?
Heel veel valse zuinigheid, maakt dat men later toch echt wel schreit (aangepast gezegde).
#laufer
Overigens is er al een update uitgebracht.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.