Denial-of-Service-kwetsbaarheid zonder authenticatie in Really Simple Security-plugin (CVE-2026-88798)

Wat is er gebeurd

De plugin Really Simple Security valideert een door de client aangeleverde adreswaarde niet voordat deze als opslagsleutel wordt gebruikt in een van de eigen plugin-opties. Omdat deze waarde niet wordt gecontroleerd of begrensd, kan een niet-geauthenticeerde aanvaller herhaaldelijk nieuwe waarden indienen, waardoor de betreffende optie onbeperkt blijft groeien. Dit leidt tot vertraging in de afhandeling van verzoeken naar niet-bestaande pagina's op de site (CWE-400: ongecontroleerd resourcegebruik).

Technische oorzaak

De oorzaak ligt in het ontbreken van invoervalidatie op een door de client aangeleverde waarde, die direct als sleutel wordt gebruikt bij het wegschrijven naar een door de plugin beheerde optie. Zonder grenzen of opschoning kan herhaald indienen door een aanvaller ervoor zorgen dat de datastructuur van deze optie onbeperkt uitbreidt, wat na verloop van tijd opslag- en verwerkingscapaciteit verbruikt.

Waarom dit relevant is

De kwetsbaarheid kan worden getriggerd zonder authenticatie en zonder enige gebruikersinteractie, wat betekent dat elke externe bezoeker kan proberen deze te misbruiken. Hoewel er geen gegevens worden blootgesteld en geen code kan worden uitgevoerd, kan de kwetsbaarheid de reactiesnelheid van de site geleidelijk verslechteren, met name bij de afhandeling van niet-bestaande pagina's (404), wat op termijn de beschikbaarheid en gebruikerservaring kan beïnvloeden.

Wie wordt getroffen

Sitebeheerders die de WordPress-plugin Really Simple Security gebruiken, die volgens de beschikbare gegevens ongeveer 3 miljoen actieve installaties heeft, worden getroffen als zij een versie ouder dan 9.8.3 draaien.

Getroffen versies

Alle versies van Really Simple Security vóór 9.8.3 zijn getroffen.

Fixes en mitigatie

Het feitenpakket vermeldt dat in de kwetsbaarheidsgegevens van de plugin versie 9.8.3 als 'fixed' is opgegeven; tegelijkertijd geeft het record expliciet aan dat fix_available op false staat. Door deze tegenstrijdigheid in de beschikbare gegevens kunnen we niet met zekerheid bevestigen dat er momenteel daadwerkelijk een gepatchte release is gepubliceerd en beschikbaar is om te downloaden. Sitebeheerders wordt geadviseerd rechtstreeks het update-kanaal van de plugin te controleren op de meest recente beschikbare versie.

Aanbevolen actie

Beheerders die Really Simple Security gebruiken, wordt geadviseerd de WordPress-pluginrepository of het plugindashboard van hun site te controleren op een update naar versie 9.8.3 of hoger. Als er nog geen update beschikbaar is, overweeg dan serverlogs te monitoren op ongebruikelijke verzoekpatronen gericht op niet-bestaande pagina's, en raadpleeg de officiële kanalen van de pluginleverancier voor verdere richtlijnen.