Kerentanan di Plugin WordPress Google Site Kit

Kerentanan ditemukan di plugin WordPress Google Site Kit dan sejak itu telah diperbaiki.

Kerentanan memungkinkan penyerang untuk meningkatkan akses situs dan menyerang kemampuan korban untuk mencari, mengubah peta situs, dan banyak lagi.

Plugin WordPress untuk Google Site Kit

Kerentanan mempengaruhi paket situs Google. Google Site Kit adalah Google WordPress.

Google Site Kit menampilkan informasi tentang situs Anda di panel admin WordPress. Informasi lebih lanjut dari Google Search Console (GSC), Google Analytics, AdSense, PageSpeed ​​​​Insights, dan alat Google lainnya.

Peneliti WordFence (@wordfence) menemukan kerentanan, memberi tahu Google dan kemudian menerbitkan pemberitahuan setelah memperbarui plugin.

Menurut pengumuman:

“Ini dianggap sebagai kerentanan kritis yang dapat menyebabkan penyerang mengambil alih kepemilikan situs web Google Search Console mereka.

Akses pemilik memungkinkan penyerang untuk memodifikasi peta situs, menghapus halaman dari halaman hasil mesin pencari Google, atau memfasilitasi kampanye SEO topi hitam.

Google Site Kit adalah plugin WordPress yang menampilkan data Google AdSense, Analytics, dan GSC di area admin WordPress.

Kerentanan terhadap eskalasi hak istimewa

Kerentanan yang memengaruhi Google Site Kit adalah hak istimewa. Jenis eksploitasi ini mengharuskan penyerang terdaftar di situs WordPress (misalnya sebagai pelanggan) untuk memanfaatkan kerentanan.

Biasanya, pengguna di tingkat berlangganan memiliki hak istimewa minimal di situs web. Namun, kerentanan memungkinkan penyerang untuk mendapatkan hak istimewa admin tingkat situs untuk meningkatkan hak akses situs mereka.

Kerentanan itu ditemukan oleh peneliti keamanan WordFence Chloe Chamberland pada 21 April 2020 dan dilaporkan ke Google pada hari yang sama. Google merilis tambalan 7 Mei 2020

Menurut peneliti kerentanan WordFence Chloe Chamberland:

Menghubungkan dua sistem, seperti situs WordPress dan alat situs Google sendiri, selalu melibatkan beberapa risiko. Memastikan integrasi antara kedua sistem itu penting.

Ketika perusahaan seperti Google memiliki kebijakan keamanan kerentanan yang mudah ditemukan, ini membantu peneliti untuk memperbaiki masalah pengguna akhir dengan cepat. Web lebih aman untuk semua orang. “

Pelanggan Plugin Keamanan Premium WordFence akan dilindungi dari kerentanan ini pada hari ditemukan, beberapa minggu sebelum Google merilis tambalan.

Lanjutkan membaca di bawah ini

Versi Google Site Kit yang terpengaruh

Kerentanan ini memengaruhi versi Google Site Kit yang lebih rendah dari 1.8.0.

Google Sites Kit 1.8.0 telah sepenuhnya ditambal. Sangat disarankan agar pengguna segera memperbarui plugin mereka.

Log perubahan plugin WordPress Google Site Kit menunjukkan versi 1.8.0 Ini memiliki pembaruan keamanan dan sangat menyarankan agar pengguna memperbarui.

Baca pengumuman resmi:

Kerentanan di plugin Google WordPress menyediakan akses ke konsol pencarian penyerang