Inleiding / Samenvatting (TL;DR)

Er is een belangrijke beveiligingskwetsbaarheid ontdekt in de populaire WordPress plugin SureForms – Drag and Drop Form Builder for WordPress. Deze kwetsbaarheid maakt het voor geauthenticeerde aanvallers mogelijk om gevoelige informatie van uw website te stelen, waaronder API-sleutels en beheerders e-mailadressen.

• Wat: Een kwetsbaarheid voor het openbaar maken van gevoelige informatie (Sensitive Information Disclosure).
• Waar: De SureForms – Drag and Drop Form Builder for WordPress plugin, versies tot en met 1.12.1.
• Wie is getroffen: Alle WordPress websites die SureForms gebruiken en niet zijn bijgewerkt naar de nieuwste versie, vooral die met gebruikersrollen zoals ‘Contributor’ of hoger.
• Actie: Update uw SureForms plugin onmiddellijk naar versie 1.12.2 of hoger om uw site te beschermen.

Wat is de Kwetsbaarheid?

Deze kwetsbaarheid, geïdentificeerd als CVE-2025-10732, bevindt zich in de SureForms – Drag and Drop Form Builder for WordPress plugin.

• Plugin: SureForms – Drag and Drop Form Builder for WordPress
• Type kwetsbaarheid: Sensitive Information Disclosure (Blootstelling van Gevoelige Informatie).
• Uitleg: Normaal gesproken moeten bepaalde gevoelige instellingen van uw website strikt privé blijven. Echter, door een fout in de toegangscontrole van de SureForms plugin, kunnen aanvallers die over een gebruikersaccount met ten minste ‘Contributor’-rechten beschikken, deze beschermde informatie ophalen via een specifiek deel van de website (het REST API endpoint /wp-json/sureforms/v1/srfm-global-settings).
• Oorzaak: De kwetsbaarheid is het gevolg van een onjuiste implementatie van toegangscontrole, waardoor geauthenticeerde gebruikers met lage privileges toch toegang krijgen tot informatie waar ze geen recht op hebben.

Wat is de Impact? (Waarom is dit gevaarlijk?)

De gevolgen van deze kwetsbaarheid kunnen ernstig zijn, omdat aanvallers toegang krijgen tot cruciale gegevens:

• API-sleutels: Ze kunnen API-sleutels voor diensten zoals Google reCAPTCHA, Cloudflare Turnstile en hCaptcha bemachtigen. Met deze sleutels kunnen aanvallers uw beveiligingsmaatregelen omzeilen of deze diensten misbruiken.
• Beheerders e-mailadressen: Het opvragen van beheerders e-mailadressen kan leiden tot gerichte phishing-aanvallen, waarbij aanvallers zich voordoen als legitieme bronnen om verdere toegang te verkrijgen.
• Beveiligingsgerelateerde formulierinstellingen: Inzicht in uw formulierinstellingen kan aanvallers helpen zwakke plekken in uw formulieren te exploiteren, zoals het injecteren van kwaadaardige code of het verzamelen van gebruikersgegevens.

Deze informatie kan worden gebruikt voor verdere, geavanceerdere aanvallen, zoals het overnemen van accounts, het versturen van spam via uw diensten, of zelfs volledige controle over uw website.

Ben Ik Getroffen?

Volg deze stappen om te controleren of uw website kwetsbaar is:

1. Gebruik je de SureForms plugin? Controleer in uw WordPress dashboard of de ‘SureForms – Drag and Drop Form Builder for WordPress’ plugin actief is.
2. Welke versie gebruik je? Ga naar WordPress Dashboard -> Plugins -> Geïnstalleerde plugins. Zoek naar ‘SureForms’ en controleer het versienummer.

De regel is simpel: Alle versies van SureForms tot en met 1.12.1 zijn kwetsbaar. Als uw versie 1.12.1 of lager is, loopt u risico!

De Oplossing: Wat Moet Ik Nu Doen?

Het goede nieuws is dat de ontwikkelaars van SureForms snel hebben gereageerd. Er is een patch beschikbaar die de kwetsbaarheid verhelpt.

Directe Actie:

Update de SureForms plugin onmiddellijk naar de nieuwste beschikbare versie (1.12.2 of hoger).

1. Maak een backup: Voordat u updates uitvoert, is het cruciaal om een volledige backup van uw website (bestanden en database) te maken. Dit beschermt u tegen onverwachte problemen tijdens het updateproces.
2. Update de plugin:
   • Log in op uw WordPress dashboard.
   • Navigeer naar Plugins -> Geïnstalleerde plugins.
   • Zoek ‘SureForms – Drag and Drop Form Builder for WordPress’.
   • Als er een update beschikbaar is, ziet u een melding ‘Update nu’ onder de pluginnaam. Klik hierop.
3. Controleer uw site: Na de update, controleer of uw website en alle functionaliteiten (vooral formulieren) nog correct werken.

Als u om welke reden dan ook de plugin niet direct kunt updaten, overweeg dan de plugin te deactiveren totdat de update is toegepast. Dit verkleint de kans op een aanval.

Technische Details (Voor de geïnteresseerden)

Voor ontwikkelaars en technisch onderlegde gebruikers zijn hier de specifieke details:

• CVE-ID: CVE-2025-10732
• Datum van publicatie: 2025-10-14T06:15:33.940 (Dit is de datum waarop de CVE is toegewezen, niet per se de publieke bekendmaking)
• CVSSv3.1 Score: 6.5 (Medium)
• Kwetsbaarheid: Onjuiste toegangscontrole (Improper Access Control) op het /wp-json/sureforms/v1/srfm-global-settings REST API endpoint.
• Betrokken versies: Alle versies tot en met 1.12.1.
• Oplossing: Versie 1.12.2 en hoger.

Conclusie en Preventie

De beveiliging van uw WordPress website is een doorlopend proces. Kwetsbaarheden zoals die in SureForms onderstrepen het belang van proactief beheer.

Herhaal de urgentie: Zorg ervoor dat u de SureForms plugin zo snel mogelijk bijwerkt. Dit is de meest effectieve manier om deze specifieke dreiging af te wenden.

Algemene beveiligingstips voor WordPress:

• Regelmatig updaten: Houd uw WordPress-core, alle plugins en thema’s altijd up-to-date. Updates bevatten vaak belangrijke beveiligingspatches.
• Sterke wachtwoorden en 2FA: Gebruik unieke, complexe wachtwoorden voor alle gebruikersaccounts en schakel waar mogelijk tweefactorauthenticatie (2FA) in.
• Regelmatige backups: Zorg voor een solide backupstrategie. Mocht er toch iets misgaan, dan kunt u snel herstellen.
• Beveiligingsdiensten: Overweeg een professionele WordPress-beveiligingsdienst. Wij kunnen u helpen met monitoring, scans en snelle reactie op bedreigingen.

Blijf alert en neem de nodige stappen om uw online aanwezigheid veilig te stellen. Heeft u hulp nodig met het beveiligen van uw WordPress website? Neem dan contact met ons op.

Meer informatie:

• WordFence Threat Intel: Wordfence – SureForms Vulnerability
• WordPress.org Trac (Codechanges):
  • Global Settings L314
  • Global Settings L64
  • Changeset