50.000 WordPress-sites kwetsbaar door lek in plugin
Cybercriminelen maken actief misbruik van een zero day-lek in een plugin die op 50.000 WordPress-websites wordt gebruikt. Het gaat om de Contact Form for WordPress – Ultimate Form Builder Lite plugin, die is ontwikkeld door AccessPress Themes.
Het lek is ontdekt door het beveiligingsbedrijf WordFence. Brad Haas, Senior Security Analyst bij WordFence, schrijft in een blogpost dat WordFence in september drie plugins heeft ontdekt met kritieke object injection kwetsbaarheden, die allen actief werden misbruikt door cybercriminelen. Tijdens nader onderzoek naar deze beveiligingsproblemen is de nieuwe kwetsbaarheid in Contact Form for WordPress – Ultimate Form Builder Lite plugin ontdekt.
SQL-injectie en PHP object injection
De exploit bestaat uit een combinatie van een SQL-injectie kwetsbaarheid en een PHP object injection kwetsbaarheid. Deze combinatie stelt aanvallers in staat een kwetsbare website over te nemen met één enkel verzoek naar /wp-admin/wp-ajax.php.
Het lek is op 13 oktober door WordFence gemeld bij AccessPress Themes, dat op 23 oktober een update voor de plugin beschikbaar heeft gesteld. WordFence publiceert daarom nu details over het datalek.
Meer over
Lees ook
Onderzoek Orange Cyberdefense: aantal slachtoffers cyberafpersing neemt toe
Het aantal slachtoffers van cyberafpersing is afgelopen jaar wereldwijd met 46 procent gestegen ten opzichte van 2022. Dat is een van de opvallende conclusies uit het rapport ‘Security Navigator 2024’ van cybersecurityspecialist Orange Cyberdefense. Volgens het rapport zijn grote ondernemingen het meest getroffen door deze vorm van cybercriminalit1
Qualys voorspelt meer werkdruk en minder budget voor CISO’s in 2024
Qualys publiceert de voorspellingen voor 2024. Volgens Paul Baird, Field Chief Technical Security Officer van Qualys, moeten CISO’s volgend jaar meer doen met minder. “Zij willen dit mogelijk maken door IT-beveiligingsoplossingen te consolideren en door automatisering te introduceren in hun teams, maar ze willen daarbij wel de verwachtingen van AI1
WatchGuard Threat Lab publiceert Cybersecurity Predictions
Van de manipulatie van grote taalmodellen tot vishing met AI-gebaseerde chatbots, kunstmatige intelligentie drukt in 2024 een grote stempel op het cybersecuritylandschap. Dit voorspelt het WatchGuard Threat Lab van WatchGuard Technologies in zijn Cybersecurity Predictions voor 2024.