Peretas mengeksploitasi bug pengungkapan informasi di plugin Gravity SMTP WordPress

Perkembangan ini menjadi salah satu sorotan penting dalam perkembangan keamanan siber. Pelaku ancaman mengeksploitasi kerentanan pengungkapan informasi yang tidak diautentikasi di plugin WordPress Gravity SMTP, yang aktif di 100.000 situs.

Cacat tersebut dilacak sebagai CVE-2026-4020 dan mendapat peringkat tingkat keparahan sedang. Ini mempengaruhi semua versi plugin dari 2. 1. 4 dan yang lebih lama dan telah diatasi dalam versi 2. 1. 5, yang dirilis pada 17 Maret.

Perusahaan keamanan WordPress Defiant memperingatkan bahwa peretas secara aktif mengeksploitasi kerentanan tersebut. Firewall Wordfence perusahaan telah memblokir lebih dari 17 juta upaya terhadap pelanggan yang dilindungi.

Masalah ini berasal dari titik akhir REST API yang terbuka di Gravity SMTP, yang 'permission_callback'-nya selalu mengembalikan 'true', memungkinkan permintaan GET yang tidak diautentikasi untuk menerima “Laporan Sistem” JSON komprehensif yang dihasilkan oleh plugin. Informasi yang diungkapkan mungkin berisi:

Meskipun tingkat keparahannya sedang, kerentanan CVE-2026-4020 dapat dieksploitasi tanpa autentikasi, dan informasi yang terekspos dapat digunakan untuk mencuri kredensial layanan email.

Kemarin, perusahaan mengeluarkan peringatan terpisah tentang kelemahan penghapusan file yang kritis, tidak diautentikasi, dan sewenang-wenang di plugin Avada Builder WordPress, yang digunakan di satu juta situs.

Secara keseluruhan, perkembangan ini memberi gambaran tentang arah terbaru di perkembangan keamanan siber dan alasan mengapa topik ini tetap relevan untuk terus dipantau.

Baca sumber asli dari bleepingcomputer. com