Pelaku ancaman secara aktif mengeksploitasi kerentanan kritis pada plugin Post SMTP yang dipasang pada lebih dari 400.000 situs WordPress, untuk mengambil kendali penuh dengan membajak akun administrator.
Post SMTP adalah solusi pengiriman email populer yang dipasarkan sebagai pengganti fungsi default 'wp_mail()' yang kaya fitur dan lebih andal.
Pada tanggal 11 Oktober, firma keamanan WordPress Wordfence menerima laporan dari peneliti 'netranger' tentang masalah pengungkapan log email yang dapat dimanfaatkan untuk serangan pengambilalihan akun.
Masalah tersebut, yang dilacak sebagai CVE-2025-11833, menerima skor keparahan kritis sebesar 9,8 dan memengaruhi semua versi Post SMTP dari 3.6.0 dan yang lebih lama.
Masalah tersebut, yang dilacak sebagai CVE-2025-11833, menerima skor keparahan kritis sebesar 9,8 dan memengaruhi semua versi Post SMTP dari 3.6.0 dan yang lebih lama.
Kerentanan tersebut berasal dari kurangnya pemeriksaan otorisasi dalam fungsi '_construct' pada alur 'PostmanEmailLogs' plugin.
Konstruktor itu secara langsung menyajikan konten email yang dicatat ketika diminta tanpa melakukan pemeriksaan kapabilitas, yang memungkinkan penyerang yang tidak diautentikasi untuk membaca email yang dicatat secara sembarangan.
Paparan tersebut meliputi pesan pengaturan ulang kata sandi dengan tautan yang memungkinkan perubahan kata sandi administrator tanpa memerlukan pemegang akun yang sah, yang berpotensi menyebabkan pengambilalihan akun dan peretasan situs secara penuh.
Paparan tersebut meliputi pesan pengaturan ulang kata sandi dengan tautan yang memungkinkan perubahan kata sandi administrator tanpa memerlukan pemegang akun yang sah, yang berpotensi menyebabkan pengambilalihan akun dan peretasan situs secara penuh.
Wordfence memvalidasi eksploitasi peneliti pada tanggal 15 Oktober dan sepenuhnya mengungkapkan masalah tersebut kepada vendor, Saad Iqbal, pada hari yang sama.
Patch telah dirilis pada 29 Oktober, dengan Post SMTP versi 3.6.1. Berdasarkan data WordPress.org , sekitar setengah dari pengguna plugin telah mengunduhnya sejak patch dirilis, sehingga setidaknya 210.000 situs rentan terhadap serangan pengambilalihan admin.
Menurut Wordfence, peretas mulai mengeksploitasi CVE-2025-11833 pada 1 November. Sejak itu, perusahaan keamanan tersebut telah memblokir lebih dari 4.500 upaya eksploitasi terhadap pelanggannya.
Mengingat status eksploitasi aktif, pemilik situs web yang menggunakan Post SMTP disarankan untuk segera beralih ke versi 3.6.1 atau menonaktifkan plugin.
Pada bulan Juli, PatchStack mengungkapkan bahwa Post SMTP rentan terhadap kelemahan yang memungkinkan peretas mengakses log email yang berisi konten pesan lengkap, bahkan dari tingkat pelanggan.
Kelemahan tersebut, yang dilacak sebagai CVE-2025-24000 , memiliki dampak yang sama seperti CVE-2025-11833, yang memungkinkan pengguna tak sah memicu pengaturan ulang kata sandi, menyadap pesan, dan mengambil alih akun administrator.
Pembaruan 11/6 - Peneliti Reflectiz Ysrael Gurt mengatakan kepada BleepingComputer bahwa perbaikan untuk kelemahan ini tidak mengatasi risiko yang timbul darinya.
"Dari penyelidikan saya, kerentanan ini membuat log email mudah diakses karena ID log berupa angka yang bertambah secara otomatis, sehingga memudahkan penyerang untuk menebak dan melihat email sensitif," jelas Gurt.
Bahkan setelah masalah ini 'diperbaiki', email pengaturan ulang kata sandi masih tersimpan di log dan tetap dapat diakses oleh pengguna dengan hak akses rendah. Ini berarti siapa pun yang memiliki izin untuk melihat log berpotensi dapat mengatur ulang kata sandi pengguna mana pun. Pendekatan yang lebih aman adalah dengan membersihkan email pengaturan ulang ini, serupa dengan cara mereka melindungi alamat email sensitif.
Sumber : https://www.bleepingcomputer.com/news/security/hackers-exploit-wordpress-plugin-post-smtp-to-hijack-admin-accounts/