Baru-baru ini ditemukan pelaku ancaman mereset kata sandi untuk akun admin di situs WordPress menggunakan kerentanan zero-day dalam plugin SMTP untuk WordPress populer yang dipasang di lebih dari 500.000 situs.
Zero-day tersebut digunakan dalam serangan selama beberapa minggu terakhir dan saat ini sudah diperbaiki.
Kerentanan itu terdapat dalam Easy WP SMTP, sebuah plugin yang memungkinkan pemilik situs mengonfigurasi pengaturan SMTP untuk situs web berbasis WordPress.
Menurut tim di Ninja Technologies Network (NinTechNet), Easy WP SMTP 1.4.2 dan versi yang lebih lawas berisi fitur pembuat log debug untuk semua email yang dikirim oleh situs, yang kemudian disimpan di folder instalasinya.
“Folder plugin tidak memiliki file index.html, oleh karena itu, pada server yang mengaktifkan daftar direktori, peretas dapat menemukan dan melihat log,” kata Jerome Bruandet dari NinTechNet.
Bruandet mengatakan bahwa di situs yang menjalankan versi rentan dari plugin ini, pelaku ancaman telah melakukan serangan otomatis untuk mengidentifikasi akun admin dan kemudian mereset kata sandi.
Karena mereset kata sandi melibatkan pengiriman email dengan tautan pengaturan ulang kata sandi ke akun admin, email ini juga dicatat di log debug Easy WP SMTP.
Yang harus dilakukan penyerang adalah mengakses log debug setelah mengirim permintaan reset kata sandi, melihat tautan pengaturan ulang kata sandi, dan mengambil alih akun admin situs.
Baca Juga: “Kerentanan Kritis Plugin WordPress Ultimate Member Memungkinkan Penyerang Membajak Hingga 100.000 Situs“
“Kerentanan tersebut saat ini sedang aktif dieksploitasi, pastikan untuk memperbarui secepat mungkin ke versi terbaru,” Bruandet memperingatkan.
Pengembang plugin telah memperbaiki masalah ini dengan memindahkan log debug plugin ke folder log WordPress, yang lebih aman. Versi di mana bug ini diperbaiki adalah Easy WP SMTP 1.4.4, menurut changelog plugin.
