Több mint 200 000 WordPress-alapú weboldal használ egy olyan sérülékeny Post SMTP plugin verziót, amely lehetővé teszi a támadók számára az adminisztrátori fiókok átvételét. A Post SMTP egy népszerű e-mailküldő WordPress-bővítmény, amelyet jelenleg több mint 400 000 weboldal használ aktívan. A plugint a WordPress beépített ’wp_mail()’ függvényének megbízhatóbb és több funkcióval rendelkező alternatívájaként hirdetik. A sérülékenységet május 23-án jelentette egy kiberbiztonsági kutató a WordPress biztonságával foglalkozó PatchStack csapatának. A hibát a CVE-2025-24000 azonosító alatt regisztrálták, és magas: 8.8-as CVSS pontszámot kapott.
A sebezhetőség a plugin összes 3.2.0-ás verzió előtti kiadását érinti, a forrása pedig egy hibás hozzáférés-ellenőrzési mechanizmus a plugin REST API végpontjaiban. A rendszer csupán azt ellenőrizte, hogy a felhasználó be van-e jelentkezve, de nem vizsgálta annak jogosultsági szintjét. Ez lehetőséget adott arra, hogy az alacsony jogosultságú felhasználók (például egyszerű feliratkozók) hozzáférjenek az e-mail naplókhoz, amelyek tartalmazták az üzenetek teljes szövegét.
Egy ilyen sebezhető oldalon egy feliratkozói jogosultságú felhasználó jelszó-visszaállítást kezdeményezhet az adminisztrátori fiókhoz, majd az erről szóló e-mailt elfogva az e-mailnaplóból, könnyedén átveheti az irányítást a weboldal felett.
A plugin fejlesztője május 26-án elkészült a javítással, amelynek lényege az volt, hogy a ’get_logs_permission’ függvénybe további jogosultság-ellenőrzés került beépítésére. Ennek hatására az érzékeny API-hívásokhoz már csak megfelelő jogosultságú felhasználók férhetnek hozzá. A javítás a 3.3.0-ás verzióval jelent meg, amely június 11-én került kiadásra.
A WordPress.org statisztikái szerint jelenleg a felhasználók kevesebb mint fele (mindössze 48,5%) frissített a legújabb, biztonságos verzióra. Ez azt jelenti, hogy még mindig több mint 200 ezer weboldal maradt védtelen a sérülékenységgel szemben. Ráadásul az aktív telepítések közel egynegyede (24,2%, azaz nagyjából 96 800 oldal) még mindig a 2.x verziós ágat használja, amely további, már jól ismert sebezhetőségeket is tartalmaz, ezzel még komolyabb veszélynek téve ki a felhasználókat.
