WordPress.org forceert update wegens kritiek Pods-lek

WordPress.org heeft op meer dan 100.000 websites een beveiligingsupdate geforceerd geïnstalleerd vanwege een kritieke kwetsbaarheid in de plug-in Pods. Deze plug-in stelt beheerders in staat om custom content-onderdelen te maken, maar bevatte een lek dat ongeauthenticeerde aanvallers toeliet om wachtwoorden van gebruikers, waaronder admins, te overschrijven. Daarnaast kon er sprake zijn van bestandsverwijdering, PHP-executie en andere admin-acties.

De ontwikkelaar van Pods kwam op 14 augustus met update 3.3.9.1, maar WordPress.org koos ervoor om de patch geforceerd uit te zetten om misbruik direct te voorkomen. Sites die niet automatisch updates ontvangen, krijgen de patch toch doorgestuurd. Dit is een van de weinige gevallen waarbij WordPress.org actief ingrijpt, wat de ernst van het probleem benadrukt. Meer details staan op de pagina van Security.nl.