Plugin WPForms Lite, který používají více než 4 miliony webů, čelí vážnému obvinění. Sybre Waaijer, vývojář populárního SEO pluginu The SEO Framework, tvrdí, že průvodce nastavením pluginu vytváří jednohodinový token, který dává společnosti Awesome Motive neomezený přístup k webu správce – včetně možnosti instalovat pluginy a odesílat data z formulářů na vlastní servery.
Co se stalo: Obvinění, které otřáslo WordPress komunitou
Vše začalo příspěvkem na síti X od Sybre Waaijera, vývojáře pluginu The SEO Framework. Veřejně obvinil Awesome Motive (společnost za WPForms, AIOSEO, MonsterInsights a desítkami dalších pluginů) z toho, že do WPForms Lite verze 2.0.0 vložila backdoor. Podle Waaijera plugin při prvním spuštění průvodce nastavením předá jednohodinový přístupový token na servery WPForms, aniž by o tom uživatele informoval nebo se ptal na svolení.
“Syed Balkhi (Awesome Motive) dal backdoor do WPForms Lite před třemi týdny ve verzi 2.0.0. Plugin běží na více než 5 milionech webů,” napsal Waaijer na X s odkazem na konkrétní soubor wpforms-lite/src/SetupWizard/Bridge.php.
Podle Waaijera token umožňuje aplikaci na straně WPForms serverů provádět akce jménem administrátora webu – instalovat a aktivovat nové pluginy, zapínat funkce a dokonce odesílat data z formulářů na servery Awesome Motive.
Jak údajný mechanismus funguje
Průvodce nastavením (Setup Wizard) je běžnou součástí mnoha WordPress pluginů – pomáhá novým uživatelům nakonfigurovat plugin po instalaci. Kontroverze spočívá v tom, že WPForms Lite údajně otevírá toto nastavení na vlastních serverech WPForms, nikoliv lokálně na webu uživatele.
- Soubor:
wpforms-lite/src/SetupWizard/Bridge.php - Verze: 2.0.0 (vydáno zhruba před třemi týdny od publikace článku)
- Fungování: Při prvním spuštění průvodce nastavením se prohlížeč administrátora přesměruje na aplikaci na serverech WPForms. Ta obdrží jednohodinový přístupový token k webu uživatele
- Možnosti: Aplikace může instalovat a aktivovat pluginy, zapínat funkce (např. odesílání dat z formulářů na WPForms servery)
- Spuštění: Automaticky pouze u nové instalace, pouze pro administrátory, bez jakéhokoliv upozornění
- Doba platnosti: Token vyprší po dokončení nastavení nebo po jedné hodině
Seznam pluginů, které WPForms Lite údajně může instalovat, zahrnuje třinct pluginů z WordPress.org: WP Mail SMTP, WPConsent, Uncanny Automator, AIOSEO, Duplicator, MonsterInsights, OptinMonster a ActiveLayer. Zajímavostí je, že na seznamu jsou i konkurenční pluginy Contact Form 7, Ninja Forms a Pirate Forms – což Waaijer označil za možnou chybu. Kromě toho může WPForms stahovat vlastní addony a WPForms Pro ze svých serverů.
Reakce komunity: Rozdělené názory
WordPress komunita reagovala na obvinění smíšeně. Část vývojářů považuje mechanismus za standardní funkci setup wizardu, který usnadňuje uživatelům konfiguraci. Jiní varují, že předání administrátorského tokenu třetí straně bez explicitního souhlasu je nepřijatelné.
Jeden z diskutujících na X (@BuildInBits) namítl, že Awesome Motive je důvěryhodný vývojář s bohatou historií a že by se podobné záležitosti měly řešit soukromě, nikoliv veřejně.
Waaijer v odpovědi poukázal na to, že Awesome Motive je jeho přímý konkurent – Awesome Motive vlastní plugin AIOSEO, který soutěží s The SEO Framework. “Záměrně vybudovali druhý kanál administrátorské moci a zabalili .org zip jako Open Source, zatímco skutečná relace a URL balíčků jsou na jejich straně,” napsal. Dodal, že Awesome Motive už roky křížově instaluje své pluginy a deaktivuje konkurenční.
Jiný uživatel (@marckranat) upozornil, že označení “backdoor” je problematické: “Není to backdoor v konvenčním smyslu. Neexistuje žádný vendor-initovaný přístup, žádný bypass autentizace. Vyžaduje to, aby přihlášený administrátor skutečně spustil průvodce.”
Test redakce: Co zjistil Roger Montti z Search Engine Journal
Roger Montti, redaktor Search Engine Journal, se rozhodl obvinění prověřit vlastním testem. Instaloval WPForms Lite na testovací web a spustil průvodce nastavením.
“Když jsem procházel nastavením, myslel jsem, že jsem stále na svém webu. Ale byl jsem už na jiném webu,” popisuje Montti své překvapení. Uvádí, že si nebyl vědom žádného upozornění, že opouští svůj web.
Během nastavení Montti zjistil, že:
– Zaškrtávací políčka pro “AI Form Generation” a “Privacy Compliance” jsou přednastavená a nelze je odškrtnout
– Plugin WPConsent se instaluje povinně, rovněž bez možnosti odhlášení
– Po dokončení průvodce byly na webu nainstalovány WP Mail SMTP, WPConsent a WPForms Lite
– Po odinstalaci pluginu se mu již nepodařilo stejný průběh znovu vyvolat
Montti uzavírá, že mechanismus pro předání tokenu může mít legitimní účel (např. import dat z jiných kontaktních formulářů), ale způsob, jakým je uživatel přenesen na cizí web bez jasné informace, považuje za problematický.
Kdo stojí za WPForms a proč na tom záleží
WPForms je vlajkovou lodí společnosti Awesome Motive, kterou založil Syed Balkhi – jedna z nejvlivnějších postav WordPress ekosystému. Awesome Motive vlastní také WPBeginner (největší WordPress tutoriál web), AIOSEO, MonsterInsights, OptinMonster a desítky dalších populárních pluginů.
Skupina pluginů Awesome Motive dohromady běží na desítkách milionů webů. Díky WPBeginner, který je primárním zdrojem návštěvnosti pro celé impérium, mají obrovský dosah. Waaijer ve své kritice uvedl: “Více než dekádu byl WPBeginner přátelskou tváří toho stroje – tutoriály, které vždy nějak skončí u jejich vlastního stacku. Není to blog. Je to trychtýř.”
Pokud se obvinění potvrdí, může mít tato kauza dopad na důvěru v celý ekosystém pluginů – zejména u pluginů od velkých vydavatelů, kteří mají přístup k obrovskému množství uživatelských dat.
Co doporučit uživatelům WPForms Lite
Situace není jednoznačná – mechanismus může být legální součástí setup wizardu, který má za cíl zjednodušit prvotní konfiguraci. Způsob, jakým je implementován, ale vyvolává otázky:
- Zkontrolujte verzi pluginu – pokud používáte WPForms Lite 2.0.0 nebo novější, průvodce nastavením může odesílat token na servery WPForms
- Při instalaci dávejte pozor – pokud instalujete WPForms Lite poprvé, sledujte, zda nejste přesměrováni na cizí doménu
- Zvažte alternativy – mezi populární alternativy patří Contact Form 7 (zdarma, ale omezený), Ninja Forms nebo Gravity Forms (placené)
- Sledujte vývoj kauzy – Awesome Motive zatím nevydal oficiální stanovisko, situace se může vyvinout
Je důležité zdůraznit, že stejný mechanismus může fungovat i v placené verzi WPForms Pro – pokud se obvinění potvrdí jako pravdivé.
Zdroje
Potřebujete s WordPress webem pomoct? Kontakt najdete přes formulář na stránce Kontakt.