Pengguna WordPress Segera Update Plugin Ini, Ada Celah Keamanan Berbahaya

KOMPAS.com - Jika Anda pemilik situs berbasis WordPress dan menggunakan plugin "Advanced Custom Fields", segera perbarui plugin Anda. Sebab, ditemukan ada celah keamanan berbahaya.

Plugin tersebut memiliki celah keamanan yang memungkinkan penjahat siber melancarkan serangan cross-site scripting (XSS) dengan memasukkan kode berbahaya ke dalam web. Kode itu kemudian dieksekusi lewat browser pengunjung.

Sederhananya, praktik ini memungkinkan seseorang menyamar dengan menjalankan JavaScript dalam tampilan halaman orang lain, kemudian mencuri data dari halaman terkait.

Praktik ini akan semakin berbahaya bila pengunjung yang masuk pada halaman itu adalah admin, karena mereka bisa dibajak dan mengambil alih kendali situs terkait.

Baca juga: Jutaan Situs WordPress Dipaksa Update, Ini Penyebabnya

Masalah ini awalnya ditemukan oleh Patchstack, penyedia tools keamanan WordPress. Mereka mengidentifikasi celah tersebut sebagai CVE-2023-30777 dengan tingkat keparahan serangan 6:10.

Menurut Patchstack, plugin Advanced Custom Fields dan Advanced Custom Fields Pro terpasang di lebih dari 2 juta situs berbasis Wordpress.

"Kerentanan ini memungkinkan setiap pengguna tidak diautentikasi (untuk mencuri) data sensitif, dengan mengelabui pengguna yang memiliki hak khusus untuk mengakses jalur URL yang dibuat," kata pihak Patchstack dalam laporannya.

Celah itu dilaporkan oleh peneliti Patchstack, Rafie Muhammad, pada 5 Februari lalu kepada vendor pembuat plugin Advanced Custom Fields, Delicious Brains. Masalah keamanan itu kemudian ditambal melalui pembaruan.

Adapun pengguna WordPress dengan plugin Advanced Custom Fields dianjurkan untuk memperbarui plugin tersebut setidaknya ke versi 6.1.6, dihimpun KompasTekno dari The Register, Rabu (10/5/2023).

Baca juga: Situs Web Berbasis Wordpress Bakal Ditampilkan Lebih Cepat

Menurut Patchstack, XSS merupakan salah satu kerentanan yang paling sering ditemukan di plugin selama beberapa tahun terakhir. Sementara itu jumlah kerentanan WordPress dilaporkan meningkat hingga 150 persen selama 2020 hingga 2021.

Patchstack juga mengeklaim 29 persen plugin yang memiliki kerentanan kritis dalam periode itu tercatat tidak ditambal.

WordPress sendiri sudah eksis selama 20 tahun. Menurut W3Techs, WordPress dipakai oleh 43,2 persen dari seluruh situs web yang ada di dunia. Karena popularitasnya itu, tak jarang WordPress menjadi incaran para penjahat siber untuk melancarkan serangannya.