Vulnerabilitate exploatată în pluginul WordPress Burst Statistics

Persoanele rău intenționate exploatează o vulnerabilitate critică de ocolire a autentificării din pluginul WordPress Burst Statistics pentru a obține acces la nivel de administrator pe site-uri web.

Burst Statistics este un plugin de analiză axat pe confidențialitate, activ pe 200.000 de site-uri WordPress.

Vulnerabilitatea, identificată cu codul CVE-2026-8181, a fost introdusă pe 23 aprilie odată cu lansarea versiunii 3.4.0 a pluginului. Codul vulnerabil era prezent și în versiunea următoare, 3.4.1.

Potrivit Wordfence, care a descoperit vulnerabilitatea CVE-2026-8181 pe 8 mai, aceasta permite atacatorilor neautentificați să se dea drept utilizatori cu drepturi de administrator în timpul solicitărilor către API-ul REST și chiar să creeze conturi de administrator neautorizate.

Cauza principală o reprezintă interpretarea incorectă a rezultatelor funcției wp_authenticate_application_password(), mai precis tratarea unui WP_Error ca pe un semn al autentificării reușite.

Cu toate acestea, specialiștii explică faptul că WordPress poate returna, în anumite cazuri, și valoarea null, care este considerată în mod eronat ca fiind o cerere autentificată.

Ca urmare, codul apelează wp_set_current_user() cu numele de utilizator furnizat de atacator, preluând efectiv identitatea acelui utilizator pe durata cererii API REST.

Accesul la nivel de administrator le permite atacatorilor să acceseze baze de date private, să instaleze backdoor-uri, să redirecționeze utilizatorii către locații necorespunzătoare, să distribuie programe malware, să creeze utilizatori cu drepturi de admin și multe altele.

Conform aceleiași platforme, firma specializată în securitatea site-urilor web a blocat peste 7.400 de atacuri care vizau vulnerabilitatea CVE-2026-8181 în ultimele 24 de ore, ceea ce indică o activitate semnificativă.

Utilizatorilor pluginului Burst Statistics li se recomandă să treacă la versiunea remediată, 3.4.2, lansată pe 12 mai 2026, sau să dezactiveze pluginul de pe site-ul lor.

Statisticile WordPress.org arată că Burst Statistics a înregistrat 85.000 de descărcări de la lansarea versiunii 3.4.2. Astfel, presupunând că toate au fost pentru cea mai recentă versiune, rămân aproximativ 115.000 de site-uri expuse atacurilor de preluare a controlului asupra contului de administrator.

Sursă: https://www.bleepingcomputer.com/news/security/hackers-exploit-auth-bypass-flaw-in-burst-statistics-wordpress-plugin/