WordPress-websites die de Forminator plug-in voor webformulieren gebruiken, zijn extreem kwetsbaar voor het uploaden en uitvoeren van kwaadaardige bestanden. Het Japanse Computer Emergency Response Team Coordination Center (JPCERT/CC) trekt hierover aan de bel.
JPCERT/CC heeft een alert uitgebracht voor de kritieke kwetsbaarheid CVE-2024-28890 die op WordPress draaiende websites treft. Deze kwetsbaarheid in de Forminator plug-in staat cybercriminelen toe om malafide bestanden te uploaden en uit te voeren op de servers waarop de aangevallen websites draaien.
Via de Forminator plug-in kunnen WordPress-gebruikers allerlei soorten webformulieren aanmaken en die in hun websites integreren. De nu aangetroffen kwetsbaarheid geldt voor alle versies van de Forminator plug-in tot v1.29.0. De meest recente versie verscheen in de maand januari van dit jaar.
Hoog aantal kwetsbare websites
Het aantal kwetsbare WordPress-sites met een Forminator plug-in loopt in de honderdduizenden. Maar 55 procent, zo blijkt uit cijfers van WordPress.org, gebruikt versie 1.29.0 of later. Slechts 200.000 websites met de getroffen plug-in zouden veilig zijn, zodat het aantal kwetsbare websites zeer hoog ligt.
WordPress-sites zijn regelmatig kwetsbaar via plug-ins. Soms kan dat direct leiden tot een miljoen sites die een aanval riskeren, zoals in januari gebeurde met de Better Search Replace plug-in. Het is aan websitebeheerders om de gebruikte plug-ins te monitoren en van updates te voorzien.