Datorer & mjukvara
WordPress-plugin läckte privata filer till vanliga användare
Wirestock Creators / Shutterstock
En populär säkerhetsplugin för WordPress har visat sig innehålla ett allvarligt säkerhetshål som kan låta vanliga användare läsa känsliga filer på servern.
Sårbarhet i Anti-Malware-pluginen
Den drabbade pluginen, Anti-Malware Security and Brute-Force Firewall, är installerad på över 100 000 webbplatser. Den ska skydda mot skadlig kod, databasattacker och kända sårbarheter – men en bugg öppnade istället dörren för dataläckor.
Felet: saknade rättighetskontroller
Sårbarheten, CVE-2025-11705, upptäcktes av forskaren Dmitrii Ignatyev och rapporterades till Wordfence. Felet ligger i funktionen GOTMLS_ajax_scan(), som hanterar AJAX-förfrågningar utan att ordentligt kontrollera användarnas rättigheter. Det gör att även prenumeranter – alltså inloggade användare med mycket låg behörighet – kan läsa filer på servern, rapporterar Bleeping Computer.
Läs också: Nvidia passerade 4 000 miljarder dollar
Risk: tillgång till känsliga filer
Med sårbarheten kan en angripare exempelvis läsa wp-config.php, som innehåller databasinloggningar och säkerhetsnycklar. Det öppnar för att hämta lösenordshashar, e-postadresser och annan privat information ur databasen.
Inte kritisk – men ändå farlig
Eftersom exploateringen kräver inloggning klassas felet inte som ”kritisk”. Men många WordPress-sajter låter besökare registrera sig för att kommentera eller prenumerera, vilket gör risken betydande.
Uppdatering släpptes snabbt
Wordfence rapporterade sårbarheten till utvecklaren den 14 oktober. Redan dagen efter kom version 4.23.83, som löser problemet med en ny funktion, GOTMLS_kill_invalid_user(), som kontrollerar användarbehörigheter.
Tusentals sajter fortfarande sårbara
Trots uppdateringen har bara runt 50 000 administratörer laddat ner den säkra versionen. Det betyder att ungefär lika många webbplatser fortfarande kör en sårbar variant.
Läs också: Apple vill köpa F1-rättigheterna
Rekommendation: uppdatera direkt
Wordfence har inte sett attacker ute på nätet ännu, men varnar för att den offentliga informationen kan locka hackare. Administratörer uppmanas därför att omedelbart uppdatera till den senaste versionen.
Läs också: Samsung fortsätter med galna priser
Fler bilar passerar 30.000 mil utan problem: Här är den vinnande trion som trotsar tiden
Gör din telefon det här ljudet? Då kan du vara övervakad utan att veta om det
Den här Volkswagen-motorn är känd för sin pålitlighet: Kör över en miljon kilometer utan ett enda verkstadsbesök
ChatGPT Atlas kan manipuleras med ett klick: “Allvarligt hot”
