آسیب‌پذیری جدیدی که توسط گوگل در یکی از افزونه‌های رسمی خود برای وردپرس وصله شده است، می‌تواند با هدف دسترسی به کنسول جستجوی گوگل یک وب‌سایت آسیب‌پذیر مورد بهرهبرداری قرار بگیرد. این افزونه که Site Kit نام دارد، توسط گوگل و به‌منظور ارائه‌ی اطلاعاتی به مدیران در مورد پیداکردن و استفاده از وب‌سایت‌ها توسط کاربران و مشاهده‌ی تمامی اطلاعات مهم و بحرانی ابزارهای گوگل در مورد وب‌سایت، به‌صورت مستقیم و در داشبور وردپرس، طراحی شده است. این افزونه دارای بیش از ۴۰۰هزار نصب فعال است.
آسیب‌پذیری جدید، به‌عنوان یک اشکال امنیتی با شدت بحرانی رتبه‌بندی شده و در سیستم CVSS، امتیاز ۹٫۱ را دریافت کرده است. این آسیب‌پذیری می‌تواند امکان دسترسی به کنسول جستجو، تغییر نقشه‌ی سایت و همچنین، دستکاری در صفحه‌ی نتایج موتور جستجو را برای مهاجم فراهم کند. به گفته‌ی محققان، این افزونه هنگام اتصال اولیه به کنسول جستجوی گوگل، یک proxySetupURL ایجاد کرده و از طریق آن، مدیر وب‌سایت را به OAuth گوگل هدایت می‌کند. proxySetupURL، به‌عنوان بخشی از کد منبع HTML صفحه‌های مدیریتی نمایش داده شده و می‌تواند توسط هر کاربر احراز هویت‌شده‌ی دیگری که به داشبورد /wp-admin دسترسی دارد، مشاهده شود. مهاجم همچنین می‌تواند از ترکیب این آسیب‌پذیری با بهرهبرداری دیگری که امکان تزریق محتوای مخرب در وب‌سایت را دارد، برای کسب درآمد استفاده کند.
از سوی دیگر، از آن‌جایی که درخواست اعتبارسنجی هیچ‌گونه بررسی صلاحیتی ندارد، هر کاربر احراز هویت‌شده با حداقل دسترسی، می‌تواند درخواست اعتبارسنجی را ارسال کند. به گفته‌ی محققان، این دو نقص باعث می‌شود تا کاربران دارای حق اشتراک در وب‌سایت آسیب‌دیده به کنسول جستجوی گوگل دسترسی پیدا کنند.
درحال‌حاضر، گوگل با انتشار نسخه‌ی ۱٫۸٫۰ افزونه‌ی Site Kit و افزودن بررسی صلاحیت‌ها، این آسیب‌پذیری‌ها را وصله کرده است.
