Das WordPress-Plugin Popup Builder dient in WordPress dazu, Popups auf einer Webseite zu integrieren und zu managen. In Version 3.7.1 und jünger stecken nach Erkenntnissen der Sicherheitsexperten von Webarx mehrere Lücken in der Authorisierung von Ajax-Methoden.
Laut der Mitteilung von Webarx hat das Plugin über 200.000 Nutzer. Über die Lücken sei es unter anderem möglich, Newsletter zu verschicken und Subscriber einer Seite zu entfernen oder von einer entfernten URL zu importieren.
Die Entdecker der Lücke haben die Entwickler des Plugins Anfang Dezember 2020 informiert. Zunächst sei dann Version 3.7.1 veröffentlicht worden, die aber lediglich den Versand von Newslettern verhinderte. Nach neuerlicher Information der Entwickler sei zunächst keine Antwort erfolgt, bis am 22. Januar dann die Version 3.7.2 von Popup Builder erschienen sei. Diese Version schließe die gemeldeten Lücken, so Webarx in der Mitteilung zu den Problemen. Dort sind auch Code-Beispiele zu finden, wie sich die Sicherheitslücken ausnutzen ließen.
