De Easy WP SMTP plugin kreeg op 7 december een update (versie 1.4.3) om een kwetsbaarheid te patchen. Twee dagen later werd nog een update (versie 1.4.4) uitgebracht om een aanvullende beveiliging aan te brengen.
Over de Easy WP SMTP plugin
Easy WP SMTP is een gratis WordPress plugin waarmee je alle uitgaande mails via een SMTP server kunt versturen. Dit voorkomt dat je WordPress mails in de junk of spam folder van je ontvangers terechtkomen. De plugin heeft meer dan 500.000 actieve installaties.
Kwetsbaarheid
Plugin mappen op een server die bestanden bevatten die niet zichtbaar mogen zijn voor gebruikers, bevatten doorgaans een blanco index.html bestand om te voorkomen dat de bestanden in die map bekeken kunnen worden. De map waar het zogeheten debug log bestand van de Easy WP SMTP plugin in stond, bevatte echter geen index.html bestand. Dus op servers waar index lijsten niet standaard zijn uitgeschakeld, zouden kwaadwillenden toegang kunnen krijgen tot het bestand. Op die manier kunnen ze een admin gebruikersnaam achterhalen, waarna ze het wachtwoord voor die admin account kunnen resetten. Via het debug log bestand kunnen ze de wachtwoord reset link terugvinden, waarna ze dus toegang hebben tot de WordPress admin en zo de hele website kunnen overnemen.
Patch
Easy WP SMTP 1.4.3 voegde een blanco index.html bestand aan de plugin map toe. Enkele dagen later werd versie 1.4.4 uitgerold; deze update bevat nog een aantal wijzigingen om het debug log bestand extra te beschermen. Het probleem is dat niet alle gebruikers direct updaten. Een dag nadat versie 1.4.3 werd uitgerold, was de update bij naar schatting 59.000 gebruikers geïnstalleerd. Dat betekent dat een heel groot deel van de websites die de Easy WP SMTP plugin gebruikt, nog steeds kwetsbaar is. Gebruikers die geen auto-updates hebben ingeschakeld, worden dan ook geadviseerd om onmiddellijk handmatig te updaten.
