Gevaarlijke bug in een mail-plugin voor WordPress

[Briolet]

WordPress behoort tot de meest lekke software die er is. Meestal zijn het de plugins die de boosdoener zijn.

Ik zag hier de beschrijving van een bug in de "Easy WP SMTP" plugin.

Deze plaatst de inhoud van alle verstuurde mail in een logbestand. En dit logbestand is op veel systemen door wat simpele truukjes door iedereen te lezen. Hackers zijn nu actief bezig een wachtwoord reset uit te voeren op dergelijke systemen. En de verstuurde reset-code kunnen ze gewoon in het logbestand lezen.

En als het WP account hetzelfde wachtwoord gebruikt als het systeem zelf, kunnen ze het hele systeem overnemen.