Ratusan Ribu Situsweb WordPress Alami Kerentanan Kritis

Cyberthreat.id – Ratusan ribu situsweb WordPress dalam kondisi rentan karena terdapat masalah pada plugin Essential Addons for Elementer versi 5.0.4 ke bawah.

Awalnya kerentanan itu ditemukan oleh peneliti keamanan siber asal Myanmar Wai Yan Myo Thet.

Kerentanan itu memungkinkan setiap pengguna, terlepas dari status otentikasi, mampu melakukan serangan inklusi file lokal.

Selain itu, serangan tersebut juga dapat menyebabkan eksekusi kode jarak jauh jika file yang disertakan berisi kode PHP berbahaya, tulis perusahaan keamanan siber, Patchstack, Selasa (1 Februari 2022) di blog perusahaan.

Secara sederhana, plugin rentan tersebut memiliki fungsi agar admin situsweb berbasis WordPress mendapatakan lebih dari 80 elemen dan ekstensi untuk membantu mendesain halaman dan unggahan dengan mudah.

Kerentanan tersebut setelah dilaporkan ke pengembang telah diperbaiki melalui versi 5.0.4, tapi ternyata gagal. Tambalan (patch) selanjutnya dirilis pada pekan lalu melalui Essential Addons for Elementor versi 5.0.5.

Menurut Patchstack, ‎kerentanan inklusi file lokal terjadi “karena data input pengguna digunakan di dalam fungsi PHP yang merupakan bagian dari fungsi ajax_load_more ‎‎dan ajax_eael_product_gallery.‎

“‎Perlu dicatat bahwa kerentanan hanya ada jika widget (galeri dinamis, galeri produk) digunakan,” tutur perusahaan.

Menurut Security Week, saat ini lebih dari 400.000 situsweb telah memperbarui plugin mereka ke versi terbaru yang ditambal, tetapi sisanya berpotensi rentan.[]