WordPress har udsendt rettelser til to sårbarheder i Tooltipy-indstikket, hvor den ene potentielt kan give en uvedkommende adgang til foretage de samme ændringer som en administrator af en WordPress-side.
Tooltipy-indstikket kan automatisk oprette responsive værktøjsbokse, hvor der i en boks kan forklares tekniske nøgleord på websiden. Formålet er at give besøgende på websiden et hurtigt overblik, mens der surfes.
Begge sårbarheder er blevet adresseret af CMS-producenten. Der er med andre ord blevet rettet i koden, så der ikke længere er huller efter en opdatering.
Captcha er navnet på pluginnen, der er installeret på over 300.000 websteder med WordPress. Ifølge sikkerhedsfirmaet Wordfence indeholder den seneste version en bagdør.
Pluginnen skiftede ejer i september. Den nye ejer, firmaet Simplywordpress, udsendte i begyndelsen af december version 4.3.7. Den indeholder bagdøren.
WordPress' sikkerhedsteam har udviklet en version af Captcha uden bagdøren, version 4.4.5, som de har installeret på sårbare websteder. De oplyser, at over 100.000 websteder har fået den rensede version installeret.
Sikkerhedsfirmaet Wordfence opdagede sårbarhederne, da det undersøgte firmaer, hvis WordPress-installationer blev hacket. Det viste sig, at alle de tre plugins havde en sårbarhed, der lod en angriber placere en fil på dem.
Dermed kunne hackeren udarbejde en fil, der gav fuld adgang til webstedet, og placere den et sted, hvor den kunne afvikles.
Sikkerhedsforskere fra firmaet Wordfence har undersøgt sikkerheden af plugins til WordPress. Knap halvdelen af alle plugins på WordPress.org har ikke været opdateret de sidste to år.
18 af dem ser ud til at have sårbarheder, som ikke er blevet rettet.
Endvidere er der fire, som godt nok er blevet rettet, men hvor det er sket på en måde, så installerede plugins ikke bliver opdateret automatisk.
Sårbarhederne har været offentligt kendt i to-tre år.
