Betroffen ist das WordPress-Plugin SureTriggers (All-in-One Automation Platform). In der Funktion zur Benutzerauthentifizierung wird nicht geprüft, ob der übergebene geheime Schlüssel überhaupt einen Wert enthält. Ist das Plugin zwar installiert und aktiviert, aber noch nicht mit einem API-Schlüssel konfiguriert, läuft dieser Vergleich ins Leere: Ein leerer Wert gilt dann als gültig. Dadurch lässt sich die Authentifizierung vollständig umgehen. Angreifer benötigen weder ein Konto noch Zugangsdaten und können aus der Ferne eigene Benutzerkonten mit Administratorrechten auf der betroffenen Website anlegen. Mit einem solchen Konto steht ihnen die gesamte Website offen – vom Verändern und Löschen von Inhalten über das Einspielen weiterer Schadsoftware bis zur dauerhaften Übernahme der Installation. Besonders gefährdet sind Seiten, auf denen das Plugin nach der Installation nicht zu Ende eingerichtet wurde.