Telah ditemukan kelemahan keamanan tingkat tinggi di plugin WordPress yang melibatkan 8.000 pengguna. Hal ini memungkinkan attackers untuk mengatur ulang dan menghapus situs web yang rentan.
Plugin yang dimaksud dikenal sebagai Hashthemes Demo Importer, dirancang untuk membantu admin mengimpor demo untuk tema WordPress, tanpa harus menginstal dependensi apa pun.
Bug keamanan akan memungkinkan penyerang yang diautentikasi untuk mengatur ulang situs WordPress dan menghapus hampir semua konten basis data dan media yang diunggah.
Insinyur QA Wordfence dan analis ancaman Ram Gall, menjelaskan bahwa plugin gagal melakukan pemeriksaan nonce dengan benar, membocorkan nonce AJAX di dasbor admin situs yang rentan untuk semua pengguna, “termasuk pengguna dengan hak istimewa rendah seperti pelanggan.”
Sebagai konsekuensi langsung dari bug ini, pengguna tingkat pelanggan yang masuk dapat menyalahgunakannya untuk menghapus semua konten di situs yang menjalankan versi Pengimpor Demo Hashthemes yang belum ditambal.
“Sementara sebagian besar kerentanan dapat memiliki efek merusak, tidak mungkin memulihkan situs di mana kerentanan ini dieksploitasi kecuali telah dicadangkan,” tambah Gall.
Setiap pengguna yang masuk dapat memicu fungsi hdi_install_demo AJAX dan memberikan parameter reset yang disetel ke true, sehingga plugin menjalankan fungsi database_reset. Fungsi ini menghapus database dengan memotong setiap tabel database di situs kecuali untuk wp_options, wp_users, dan wp_usermeta. Setelah database dihapus, plugin kemudian akan menjalankan fungsi clear_uploads, yang menghapus setiap file dan folder di wp-content/uploads. — Ram Gall
Sementara Wordfence melaporkan kerentanan bug ke tim pengembangan plugin pada 25 Agustus 2021, para pengembang tidak membalas pesan pengungkapan selama hampir sebulan.
Ini mendorong Wordfence untuk menghubungi tim plugin WordPress pada 20 September, yang menyebabkan penghapusan plugin pada hari yang sama dan rilis tambalan yang mengatasi bug empat hari kemudian, pada 24 September.
Namun, pengembang Hashthemes Demo Importer tidak menyebutkan rilis 1.1.2 atau pembaruan pada halaman changelog plugin meskipun merilis pembaruan keamanan.
sumber: BLEEPING COMPUTER
