CVE-2026-15458, kerentanan SQL Injection ber-severity tinggi, ditemukan di plugin WordPress SEO Booster hingga versi 7.3.1. Kerentanan ini memungkinkan penyerang yang memiliki akses administrator untuk mengeksekusi query SQL tambahan ke database WordPress — berpotensi mengekstrasi data sensitif seperti kredensial pengguna, informasi konfigurasi, dan data pengunjung situs. Plugin ini digunakan oleh lebih dari 1.000 situs WordPress aktif, menjadikan kerentanan ini relevan bagi organisasi yang mengandalkan WordPress sebagai platform konten mereka.
APA YANG TERJADI?
SEO Booster adalah plugin WordPress yang mengintegrasikan data Google Search Console ke dalam dashboard admin WordPress. Plugin ini menyediakan fitur seperti keyword tracking, automatic internal links, dan SEO analysis. Kerentanan SQL Injection ditemukan pada parameter sort_field di file seo-booster.php (line 389). Parameter ini tidak memiliki escaping yang memadai dan tidak menggunakan prepared statements — memungkinkan penyerang untuk menyuntikkan query SQL tambahan ke dalam query yang sudah ada.
Meskipun kerentanan ini memerlukan akses level administrator, dampaknya tetap signifikan. Dalam lingkungan WordPress multisite atau shared hosting, satu akun administrator yang terkompromi dapat mengkompromikan seluruh data di database — termasuk data dari situs lain yang berada di server yang sama. Selain itu, SQL Injection dapat dimanfaatkan untuk privilege escalation lebih lanjut — misalnya, mengeksekusi perintah system jika MySQL memiliki hak akses FILE atau jika konfigurasi server memungkinkan.
DETAIL TEKNIS
Kerentanan ini terletak pada cara plugin memproses parameter sort_field dari request HTTP. Parameter ini digunakan untuk mengurutkan hasil query keyword di GSC Overview. Sayangnya, nilainya dimasukkan langsung ke dalam query SQL tanpa sanitasi yang memadai. Dengan mengirimkan payload SQL Injection melalui parameter sort_field, penyerang dapat mengeksekusi UNION-based SQL Injection untuk mengekstrasi data dari tabel wp_users, wp_options, atau tabel lainnya. Versi 7.3.2 yang dirilis pada 9 Juli 2026 telah memperbaiki kerentanan ini dengan membatasi kolom yang diizinkan dan menambahkan validasi ASC/DESC.
Perlu dicatat bahwa SQL Injection di plugin WordPress bukan hal baru. Pola kerentanan serupa telah ditemukan di plugin populer lainnya — termasuk cases di mana parameter sorting, filtering, atau searching tidak di-sanitasi dengan benar. CVE-2024-27956 di plugin Automatic Aliases dan CVE-2023-8341 di plugin Ultimate Member adalah contoh sebelumnya di mana SQL Injection di plugin WordPress menyebabkan kompromi massal situs.
DAMPAK TERHADAP INDONESIA
WordPress masih menjadi CMS paling populer di Indonesia — digunakan oleh ribuan situs pemerintah, UMKM, media online, dan startup. Banyak dari situs ini menggunakan plugin SEO seperti SEO Booster untuk optimasi mesin pencari. Meskipun kerentanan ini memerlukan akses administrator, skenario serangan di Indonesia cukup realistis: akun administrator WordPress yang lemah (menggunakan password default atau credential stuffing) dapat dimanfaatkan untuk mengeksekusi SQL Injection ini. Dengan UU PDP (Pelindungan Data Pribadi) yang mulai berlaku penuh, kebocoran data dari SQL Injection di WordPress dapat mengakibatkan kewajiban notifikasi pelanggaran data dan denda yang signifikan bagi organisasi pengendali data.
Di sektor pemerintahan Indonesia, banyak dinas dan kementerian yang menggunakan WordPress untuk portal informasi publik. Jika plugin SEO Booster terpasang di situs-situs ini dan akun administrator berhasil dikompromikan, data sensitif seperti informasi internal, kredensial database, dan bahkan data pengguna dapat terekspos. BSSN telah beberapa kali mengeluarkan peringatan tentang kerentanan di CMS populer — dan SQL Injection di plugin WordPress menjadi salah satu vektor serangan yang paling sering dimanfaatkan oleh pelaku kejahatan siber di Indonesia.
REKOMENDASI MITIGASI
Langkah mitigasi yang harus segera diambil: pertama, perbarui plugin SEO Booster ke versi 7.3.2 atau lebih baru yang telah memperbaiki CVE-2026-15458. Kedua, audit seluruh plugin WordPress yang terpasang dan pastikan semua berada pada versi terbaru. Ketiga, implementasikan principle of least privilege — batasi jumlah akun administrator WordPress dan gunakan role yang lebih rendah jika memungkinkan. Keempat, implementasikan MFA untuk semua akun administrator WordPress. Kelima, aktifkan WordPress security logging untuk memantau aktivitas mencurigakan pada parameter request. Keenam, pertimbangkan untuk menggunakan web application firewall (WAF) yang mampu mendeteksi pola SQL Injection pada parameter plugin.
Analisa Retasan
CVE-2026-15458 di SEO Booster menggarisbawahi masalah fundamental yang masih berulang di ekosistem plugin WordPress: penggunaan input user secara langsung dalam query SQL tanpa prepared statements. Meskipun developer modern sudah seharusnya menggunakan prepared statements atau ORM, kenyataannya banyak plugin WordPress — termasuk yang berperingkat tinggi dan memiliki ribuan instalasi — masih melakukan concatenation langsung pada query SQL. Pola ini mirip dengan CVE-2024-27956 di plugin Automatic Aliases yang juga memanfaatkan parameter sorting yang tidak sanitasi. Dalam kedua kasus, root cause-nya sama: trusted data dari HTTP request diperlakukan sebagai trusted input oleh database layer.
Aspek yang menarik dari kerentanan ini adalah requirement akses administrator. Banyak analis mungkin menganggap ini sebagai mitigating factor — namun dalam praktiknya, akun administrator WordPress di Indonesia seringkali menggunakan password yang lemah atau dibagikan antar pengguna. Credential stuffing dan brute-force attack terhadap login page WordPress merupakan teknik yang sangat umum digunakan oleh pelaku kejahatan siber Indonesia. Begitu satu akun administrator terkompromi, SQL Injection ini memberikan akses penuh ke seluruh database — termasuk kemampuan untuk mengeksekusi perintah system melalui UDF (User Defined Function) jika konfigurasi MySQL memungkinkan.
Dari perspektif defensif, SQL Injection di plugin WordPress seharusnya sudah menjadi anti-pattern yang tereliminasi. WordPress menyediakan $wpdb->prepare() yang dirancang khusus untuk mencegah SQL Injection — dan penggunaannya sangat mudah. Faktanya bahwa kerentanan seperti ini masih ditemukan di plugin dengan 1.000+ instalasi aktif menunjukkan bahwa kualitas security review di ekosistem WordPress plugin masih belum memadai. BSSN dan Kominfo perlu mempertimbangkan untuk menerapkan standar keamanan wajib bagi plugin WordPress yang digunakan di situs pemerintah — termasuk requirement untuk automated security scanning sebelum plugin diizinkan untuk diinstal di infrastruktur publik.
Sumber: WordPress Plugin Trac — SEO Booster v7.3.1 | WordPress.org — SEO Booster
