Pluginnaam	Gravity SMTP
Type kwetsbaarheid	Gegevensblootstelling
CVE-nummer	CVE-2026-4020
Urgentie	Hoog
CVE-publicatiedatum	2026-03-31
Bron-URL	CVE-2026-4020

Dringende beveiligingswaarschuwing: Gravity SMTP-plugin (≤ 2.1.4) — Ongeauthenticeerde blootstelling van gevoelige gegevens via REST API (CVE-2026-4020)

Datum: 2026-03-31

Auteur: WP-Firewall Beveiligingsteam

Trefwoorden: WordPress, Plugin-kwetsbaarheid, REST API, SMTP, WAF, Incidentrespons

Kortom — Een kritieke privacy- en beveiligingskwestie werd onthuld voor de Gravity SMTP WordPress-plugin (versies ≤ 2.1.4). Een ongeauthenticeerde actor kan toegang krijgen tot gevoelige configuratiegegevens via de REST API-eindpunten van de plugin. Het probleem wordt gevolgd als CVE-2026-4020, met een CVSS-score van 7.5 (Hoog / OWASP A3: Blootstelling van gevoelige gegevens). Werk onmiddellijk bij naar versie 2.1.5 of later. Als u niet onmiddellijk kunt bijwerken, pas dan mitigatiecontroles toe (WAF-regels, beperk de toegang tot de REST API, schakel de plugin uit) en roteer SMTP/derde partij referenties.

---

Inhoudsopgave

• Overzicht
• Wat er is gebeurd (technisch overzicht)
• Waarom dit ernstig is (impact- en risicoscenario's)
• Wie wordt getroffen?
• Hoe aanvallers deze kwetsbaarheid kunnen misbruiken
• Detectie & Indicatoren van Compromittering (IoCs)
• Onmiddellijke mitigaties (stap-voor-stap)
• Langdurige verharding & beste praktijken
• Incidentrespons als u een compromis vermoedt
• Ontwikkelaarsnotities (veilige codering & REST API-hygiëne)
• Hoe WP-Firewall helpt uw site te beschermen
• Begin met het WP-Firewall Basisplan (Gratis) — Bescherm nu
• Conclusie
• Referenties

---

Overzicht

Op 31 maart 2026 werd een kwetsbaarheid die de Gravity SMTP WordPress-plugin (versies tot en met 2.1.4) betreft, openbaar gemaakt en toegewezen aan CVE-2026-4020. De kwetsbaarheid staat ongeauthenticeerde toegang toe tot gevoelige pluginconfiguratie via de REST API-eindpunten van de plugin. Gevoelige informatie kan SMTP-referenties, API-sleutels en andere configuratiedetails omvatten die alleen beschikbaar zouden moeten zijn voor beheerders. Het probleem heeft een hoge prioriteitsbeoordeling volgens Patchstack (CVSS 7.5) en valt onder OWASP A3: Blootstelling van gevoelige gegevens — een klasse kwetsbaarheden die vaak wordt benut om compromittering te escaleren, accountovername uit te voeren of geheimen te exfiltreren voor later gebruik.

Deze post legt de kwetsbaarheid in eenvoudige taal uit, schetst risicoscenario's uit de echte wereld en geeft prioritaire, praktische richtlijnen voor site-eigenaren, ontwikkelaars, hosts en beveiligingsteams. We behandelen ook containment, detectie en herstelstappen en leggen uit hoe een WordPress-specifieke WAF en een beheerde firewallbenadering (zoals WP-Firewall) kan helpen om het risico onmiddellijk te verminderen terwijl u bijwerkt.

---

Wat er is gebeurd (technisch overzicht)

• Kwetsbaar component: Gravity SMTP WordPress-plugin, versies ≤ 2.1.4.
• Type kwetsbaarheid: Ongeauthenticeerde blootstelling van gevoelige informatie via REST API-eindpunt(en).
• CVE: CVE-2026-4020.
• Ernst: Hoog — CVSS 7.5.
• Oorzaak (samenvatting): Bepaalde REST API-routes exposeerden pluginconfiguratie zonder adequate capaciteitscontroles of authenticatie. Omdat ze configuratiegegevens retourneren aan ongeauthenticeerde verzoeken, kan een aanvaller geheimen die door de plugin zijn opgeslagen, opsporen of ophalen.
• Gepatchte versie: 2.1.5 (plugin-auteur heeft oplossingen toegepast om het API-eindpunt te beperken en blootstelling van geheimen te voorkomen).

Belangrijke opmerking: De kwetsbaarheid is een probleem van informatieblootstelling — geen remote code execution (RCE). Echter, blootgestelde geheimen zoals SMTP-referenties, API-sleutels of tokens kunnen worden gebruikt als draaipunten voor ernstigere aanvallen, waaronder accountovername, spamcampagnes of credential stuffing tegen andere diensten.

---

Waarom dit ernstig is (impact- en risicoscenario's)

Op het eerste gezicht lijkt informatieblootstelling “minder ernstig” dan RCE — maar in de praktijk is het vaak de eerste stap in grotere aanvallen. Blootgestelde geheimen en configuratiegegevens kunnen het mogelijk maken:

• Massaspamcampagnes: SMTP-inloggegevens stellen het mogelijk om bulkmail vanaf uw domein te verzenden, wat leidt tot reputatieschade en blacklisting.
• Accountovername: API-sleutels en tokens kunnen aanvallers toegang geven tot externe diensten die aan uw site zijn gekoppeld (e-mailproviders, analytics, CRM).
• Laterale beweging: Geheimen worden vaak hergebruikt; aanvallers gebruiken gestolen inloggegevens om toegang te krijgen tot andere systemen of omgevingen.
• Sociale engineering: Kennis over plugins, hostnamen en interne diensten biedt munitie voor spear-phishing en gerichte aanvallen.
• Escalatie: Blootgestelde tokens kunnen worden gebruikt om bevoorrechte API's aan te roepen en de siteconfiguratie of inhoud te wijzigen.

Omdat deze kwetsbaarheid niet geverifieerd is, kan deze op grote schaal worden misbruikt door geautomatiseerde scanners en bots. Dat verhoogt de urgentie: zowel kleine als grote sites lopen risico.

---

Wie wordt getroffen?

• Elke WordPress-site die de Gravity SMTP-plugin versie 2.1.4 of ouder draait.
• Sites die SMTP-gebruikersnamen/wachtwoorden, API-sleutels of tokens in plugininstellingen hebben opgeslagen.
• Sites waar de REST-eindpunten van de plugin toegankelijk zijn voor niet-geauthenticeerde gebruikers (meestal standaard).
• Multisite-netwerken waar de plugin netwerkbreed of in individuele subsites actief is.

Belangrijk: Zelfs als u denkt dat u de plugin niet actief gebruikt (bijv. uitgeschakeld maar bestanden aanwezig), kan het REST-eindpunt nog steeds reageren — controleer de actieve status van de plugin en zijn routes.

---

Hoe aanvallers deze kwetsbaarheid kunnen misbruiken (hoog-niveau workflow)

1. Ontdekking: Massascanners vragen veelvoorkomende WordPress REST-eindpunten voor plugins en bekende kwetsbare routes op.
2. Enumeratie: Geautomatiseerde verzoeken raken de Gravity SMTP REST-eindpunt(en) en halen JSON op met configuratievelden.
3. Geheimen oogsten: SMTP-inloggegevens, API-sleutels of tokens worden door aanvallers geëxtraheerd en opgeslagen.
4. Wapenmaking:
   • Gebruik SMTP-inloggegevens om spam/phishing vanaf uw domein te verzenden.
   • Gebruik API-sleutels om toegang te krijgen tot externe diensten.
   • Hergebruik van inloggegevens op andere sites (credential stuffing).
5. Secundaire aanvallen: Met inloggegevens in handen kunnen aanvallers proberen:
   • E-mailinstellingen van de site te wijzigen om wachtwoordresetverzoeken te onderscheppen.
   • Achterdeurtjes te creëren door andere kwetsbaarheden te exploiteren.
   • Gerichte phishingcampagnes te lanceren.

Omdat de REST API is ontworpen om toegankelijk te zijn vanuit de browser, kunnen triviale verzoeken gegevens lekken als authenticatiecontroles ontbreken of verkeerd zijn geplaatst.

---

Detectie & Indicatoren van Compromittering (IoCs)

Als je vermoedt dat je site is gescand of aangevallen, controleer dan op:

• Onverwachte uitgaande SMTP-activiteit:
  • Uitgaande e-maillogs tonen pieken in volume of berichten die je niet hebt verzonden.
  • E-mails in de map “Verzonden” van je SMTP-provider die je niet hebt geïnitieerd.
• Nieuwe of gewijzigde gebruikers, vooral accounts met admin- of auteurrechten.
• Plotselinge verschijning van geplande berichten of inhoudswijzigingen.
• DNS- en domeinreputatieveranderingen (rapporteren van spam).
• Vreemde API-aanroepen in serverlogs naar de REST-eindpunten van de plugin vanuit onbekende IP's.
• Bewijs in webserverlogs van herhaalde GET/POST-verzoeken naar:
  • /wp-json/* eindpunten gerelateerd aan de plugin
  • basispad van de plugin (bijv. /wp-content/plugins/gravitysmtp/ of vergelijkbaar)
• Derde partij waarschuwingen (bounce/bot rapporten van mailboxproviders) die ongeautoriseerd e-mailverzending aangeven.

Hoe logs te controleren

• Webserverlogs (Nginx/Apache): grep naar plugin-gerelateerde REST-paden en zoek naar anomalieuze frequentie of onbekende gebruikersagenten.
• WordPress debug.log (indien ingeschakeld): zoek naar REST-antwoorden of fouten die verband houden met de plugin.
• SMTP-providerlogs (indien gebruik wordt gemaakt van een externe mailprovider): controleer op activiteit die je niet hebt geïnitieerd.
• Hosting controlepaneel logs: uitgaande mailpieken of opbouw van wachtrijen.

---

Onmiddellijke mitigaties (prioriteit-ordening)

Je moet deze stappen nu uitvoeren — in deze volgorde — totdat je kunt updaten naar de gepatchte pluginversie (2.1.5) of bevestigen dat je al op een veilige versie bent.

1. Update de plugin (beste en eenvoudigste)
   • Update Gravity SMTP onmiddellijk naar 2.1.5 of later.
   • Controleer of de update effect heeft gehad en test SMTP-verzending in een staging-omgeving voordat je naar productie gaat, indien mogelijk.
2. Als je niet onmiddellijk kunt updaten, pas blokkeringseffecten toe
   • Gebruik een WAF (Web Application Firewall) regel om de kwetsbare REST-eindpunten te blokkeren of te beperken. Match op:
     • HTTP-pad (REST-route gerelateerd aan de plugin)
     • Queryparameters die configuratie retourneren
     • Ongebruikelijke gebruikersagenten / hoge aanvraagfrequentie
   • Beperk de toegang tot de WordPress REST API voor niet-geauthenticeerde gebruikers:
     • Beperk tijdelijk de REST API tot geauthenticeerde/geautoriseerde gebruikers via plugin of codefragment.
     • Voeg een regel toe om GET-verzoeken naar de REST-route van de plugin te blokkeren, tenzij de aanvrager geauthenticeerd en geautoriseerd is.
3. Beperk toegang op basis van IP (indien haalbaar).
   • Als je een statisch admin IP of een kleine bekende set IP's hebt, beperk dan de toegang tot REST-eindpunten of de hele site op IP-niveau op de webserver of via host-firewall.
4. Deactiveer de plugin als je niet kunt patchen of mitigeren
   • Deactiveer Gravity SMTP vanuit de WordPress-admin of via WP-CLI: wp plugin deactiveren gravitysmtp
   • Als je geen toegang hebt tot de admin, hernoem de pluginmap via SFTP of de bestandsbeheerder van de hosting om gedwongen uit te schakelen.
5. Draai de in de plugin opgeslagen inloggegevens
   • Draai SMTP-gebruikersnamen/wachtwoorden, API-sleutels, tokens en andere inloggegevens die in de plugininstellingen zijn opgeslagen.
   • Als het draaien van inloggegevens toegang tot de oude vereist, wijzig ze dan zo snel mogelijk bij je e-mail/SaaS-provider.
   • Zorg ervoor dat nieuwe inloggegevens sterk en uniek zijn; overweeg het gebruik van een app-specifiek wachtwoord voor SMTP waar ondersteund.
6. Versterk e-mail eindpunten en afleverbaarheid
   • Schakel SPF-, DKIM- en DMARC-records in om de impact van ongeautoriseerd mailen te verminderen en om je inzicht te geven in misbruik.
   • Overweeg tijdelijk de verantwoordelijkheden voor het verzenden van e-mail naar de aparte API van je provider te wijzen in plaats van gebruik te maken van op de site opgeslagen SMTP-inloggegevens.
7. Monitoren en loggen
   • Zet logging aan of intensifieer deze voor REST API-toegang en uitgaande e-mail.
   • Stel waarschuwingen in voor pieken in uitgaande e-mails of herhaalde toegang tot pluginroutes.
8. Belanghebbenden op de hoogte stellen
   • Als je site transactionele e-mails voor gebruikers verzendt (wachtwoordreset, facturen, meldingen), informeer dan belanghebbenden en gebruikers als misbruik wordt vermoed, vooral als inloggegevens mogelijk zijn gebruikt voor accountovername.

Implementatievoorbeelden (veilig, niet-exploitatief)

• Blokkeer REST-route via Apache (voorbeeldpatroon — pas aan op je pluginroute):
  • In .htaccess of serverconfiguratie, ontzeg toegang tot /wp-json/gravitysmtp/* voor niet-geauthenticeerde verzoeken.
• WP-CLI om plugin te deactiveren:
  • wp plugin deactiveren gravitysmtp

Wees voorzichtig: Het blokkeren van REST-routes kan legitieme integraties beïnvloeden. Test wijzigingen in staging wanneer mogelijk.

---

Langdurige verharding & beste praktijken

Deze kwetsbaarheid benadrukt verschillende wijdverspreide thema's in de beveiliging van WordPress-sites. Naast onmiddellijke containment, versterk je omgeving om toekomstige risico's te verminderen.

1. Houd alles up-to-date
   • Plugins, thema's en core — update snel en test voor productie wanneer mogelijk.
2. Minimaliseer de footprint van plugins.
   • Verwijder plugins die niet meer worden gebruikt.
   • Geef de voorkeur aan plugins met een sterke staat van dienst op het gebied van onderhoud en responsieve beveiligingsfixes.
3. Geheimenbeheer
   • Bewaar productie-inloggegevens niet in platte tekst in plugins wanneer er alternatieven bestaan.
   • Gebruik omgevingsvariabelen, server-side inloggegevensopslag of speciale geheimenbeheer waar mogelijk.
   • Draai inloggegevens periodiek.
4. REST API hygiëne
   • Controleer aangepaste plugin-routes op juiste capaciteitscontroles en saniteer uitvoer.
   • Cache en beperk de snelheid van openbare eindpunten.
   • Geef nooit gevoelige velden (wachtwoorden, API-sleutels, tokens) terug via openbare eindpunten.
5. Beginsel van de minste privileges
   • Zorg ervoor dat de plugin-code alleen blootlegt wat strikt noodzakelijk is.
   • Gebruik capaciteitscontroles (huidige_gebruiker_kan('opties_beheren')) voor gegevens op admin-niveau.
6. Beveiligingsmonitoring & logging
   • Onderhoud robuuste logging voor REST-toegang, authenticatiefouten en uitgaande e-mail.
   • Groepeer logs naar een centrale locatie of SIEM om anomalieën te detecteren.
7. Back-ups & herstel.
   • Onderhoud geteste back-ups (bestanden + database).
   • Houd back-ups offline of onveranderlijk om te weerstaan aanpassing na een inbreuk.
8. Staging + testomgeving
   • Test plugin-updates en WAF-regels in staging voordat je ze op productie toepast.
   • Gebruik geautomatiseerde tests om regressies in autorisatielogica te detecteren.
9. Regelmatige beveiligingsaudits
   • Voer audits uit van plugins, vooral die welke inloggegevens verwerken of integreren met externe diensten.

---

Incidentrespons als u een compromis vermoedt

Als je bewijs hebt dat je site is geëxploiteerd of dat geheimen zijn geëxfiltreerd, escaleer je reactie:

1. Isoleren en inperken
   • Deactiveer tijdelijk de kwetsbare plugin en verdachte integraties.
   • Zet de site in onderhoudsmodus als je actieve misbruik verwacht.
2. Bewijsmateriaal bewaren
   • Bewaar webserverlogs, REST-verzoeklogs en SMTP-providerlogs voor analyse.
   • Maak kopieën van mogelijk geïnfecteerde bestanden en databases voor forensisch onderzoek.
3. Draai sleutels en inloggegevens.
   • Draai SMTP-inloggegevens, API-sleutels en andere inloggegevens van derden die in de plugin waren opgeslagen.
   • Intrek en herissue tokens waar mogelijk.
4. Schoonmaken en herstellen
   • Gebruik malware-scanners en handmatige inspectie om indicatoren van compromittering te vinden (achterdeurtjes, gewijzigde bestanden).
   • Herstel naar een schone back-up die is gemaakt vóór de vermoedelijke compromittering, indien beschikbaar.
5. Scan op persistentie
   • Controleer op nieuwe beheerdersgebruikers, geplande taken, ongebruikelijke cron-taken, plugins/thema's die zonder toestemming zijn toegevoegd, en gewijzigde kernbestanden.
6. Meldingen & juridisch
   • Afhankelijk van de blootgestelde gegevens en rechtsgebieden, heb je mogelijk openbaarmakingsverplichtingen naar gebruikers, klanten of toezichthouders.
   • Documenteer de tijdlijn van het incident en de genomen acties.
7. Evaluatie na incident
   • Identificeer de oorzaak, hiaten in detectie en kansen voor verbetering (proces, tooling, personeel).

---

Ontwikkelaarsnotities (veilige codering & REST API-hygiëne)

Als je een plugin-ontwikkelaar bent, is dit een praktische checklist om soortgelijke openbaarmakingen te voorkomen:

• Voer server-side capaciteitscontroles uit voordat je configuratiegegevens retourneert:
  • Verifieer altijd huidige_gebruiker_kan() of controleer nonce + token en retourneer 403 bij ongeautoriseerde toegang.
• Vermijd het opslaan van geheimen in pluginopties die door API's worden geretourneerd. Als je moet opslaan, retourneer ze dan nooit via een eindpunt.
• Gebruik de REST API toestemming_callback bij het registreren van routes:

  register_rest_route( 'namespace/v1', '/settings', array( 'methods' => 'GET', 'callback' => 'my_callback', 'permission_callback' => 'my_permission_check' ) );

• Sanitizeer en valideer alle uitvoer, zelfs voor geauthenticeerde verzoeken.
• Eenheidstest API's voor ongeautoriseerde toegang en onbedoelde lekken.
• Log toegang tot gevoelige eindpunten met rate-limiting en anomaliedetectie.

---

Hoe WP-Firewall helpt uw site te beschermen

Bij WP-Firewall is onze aanpak gelaagd: kwetsbaarheidsexpositie gebeurt snel, maar herstel en patchrelease kunnen tijd kosten. Een beheerde webapplicatiefirewall en sitebeschermingsstrategie vermindert het blootstellingsvenster en biedt onmiddellijke mitigatie terwijl je bijwerkt.

Belangrijke manieren waarop WP-Firewall helpt in dit scenario:

• Virtueel patchen: we implementeren regelgebaseerde bescherming die kwaadaardige verzoeken naar bekende kwetsbare plugin REST-eindpunten blokkeert zonder je code te wijzigen. Dit koopt tijd totdat je veilig kunt bijwerken.
• Beheerde WAF met handtekening- en anomalie-gebaseerde detectie: blokkeert geautomatiseerde ontdekkings- en exploitatiepogingen gericht op ongeauthenticeerde REST-eindpunten en andere bekende pluginroutes.
• Scannen op malware: detecteert onverwachte codewijzigingen en achterdeurtjes die na exploitatie zijn geïnjecteerd.
• Uitgaande mailmonitoring: waarschuwt bij pieken in het volume van uitgaande e-mail en verdachte SMTP-gebruikspatronen die kunnen wijzen op misbruik van gestolen inloggegevens.
• Begeleide incidentrespons: we bieden stapsgewijze herstelgidsen en kunnen helpen bij containment, inloggegevensrotatie en herstelplanning.
• Gelaagde plannen die passen bij verschillende operationele behoeften: van gratis essentiële bescherming tot pro-functies zoals automatische virtuele patching en maandelijkse beveiligingsrapporten voor teams die continue beheerde dekking willen.

We raden aan om WAF-bescherming te gebruiken als een tijdelijke controle terwijl je de definitieve oplossing implementeert (plugin-update + inloggegevensrotatie). Een goed afgestelde WAF vermindert het aanvalsvlak en voorkomt massascans en exploitatie.

---

Begin met het WP-Firewall Basisplan (Gratis) — Bescherm nu

Je website beschermen tegen geautomatiseerde scans en informatieonthullingsaanvallen hoeft niet complex of kostbaar te zijn. Het Basis (Gratis) plan van WP-Firewall biedt je onmiddellijke, essentiële bescherming zodat je zelfverzekerd kunt reageren op snel bewegende bedreigingen zoals het Gravity SMTP REST API-probleem:

• Wat is inbegrepen in Basis (Gratis):
  • Beheerde firewall met continu bijgewerkte regels
  • Onbeperkte bandbreedte voor firewall- en beschermingsdiensten
  • Webtoepassing Firewall (WAF) die veelvoorkomende WordPress-vectoren dekt, inclusief misbruik van de REST API
  • Malware-scanner om verdachte bestanden en wijzigingen te detecteren
  • Mitigatieondersteuning voor OWASP Top 10-risico's

Meld je nu aan voor het Basis (Gratis) plan en krijg een basislijn van actieve bescherming toegepast op je site terwijl je updates en herstelstappen coördineert: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

Als je extra automatisering verkiest, voegen onze Standaard- en Pro-plannen functies toe zoals automatische malwareverwijdering, IP-toegestaan/verboden lijsten, maandelijkse beveiligingsrapportage en geautomatiseerde virtuele patches die proactief het misbruik van kwetsbaarheden kunnen blokkeren totdat een door de leverancier geleverde patch is toegepast.

---

Praktische checklist — Stapsgewijs voor site-eigenaren (snelle referentie)

1. Controleer de pluginversie:
   • Admin: Dashboard → Plugins → Gravity SMTP → update als ≤ 2.1.4.
   • WP-CLI: wp plugin lijst | grep gravitysmtp
2. Als update beschikbaar:
   • Update naar 2.1.5+ en controleer eerst de functionaliteit in staging indien mogelijk.
3. Als u niet onmiddellijk kunt updaten:
   • Activeer WP-Firewall-bescherming of equivalente WAF.
   • Blokkeer plugin-gerelateerde REST-eindpunten voor niet-geauthenticeerde gebruikers.
   • Deactiveer de plugin indien nodig.
4. Rotatie van inloggegevens:
   • Wijzig SMTP-wachtwoorden, API-sleutels, OAuth-tokens die aan de plugin zijn gekoppeld.
5. Audit en monitor:
   • Controleer logs op toegang tot /wp-json/* routes en pieken in uitgaande e-mail.
   • Zoek naar bewijs van ongeautoriseerde activiteit.
6. Herstel:
   • Als compromittering wordt vermoed, herstel dan vanaf een schone back-up, voer forensische analyse uit en informeer de betrokken partijen.
7. Versterk:
   • Verstevig de REST API, gebruik het principe van de minste privilege en stel regelmatige kwetsbaarheidsscans in.

---

Conclusie

CVE-2026-4020 is een tijdige herinnering dat kwetsbaarheden in informatie openbaarmaking - vooral die welke inloggegevens of API-tokens blootstellen - een aanzienlijk en praktisch risico vormen. Ze kunnen spam, overname van accounts, laterale beweging en bredere compromittering mogelijk maken. De snelste remedie is een officiële plugin-update (2.1.5) en rotatie van de getroffen inloggegevens. Waar onmiddellijke updates niet mogelijk zijn, vermindert het toepassen van WAF-regels, het beperken van REST API-toegang of het tijdelijk deactiveren van de plugin het risico aanzienlijk.

Als je WordPress-sites beheert, onderneem dan nu actie: bevestig de pluginversies in je vloot, werk bij waar nodig, roteer de sleutels die in de plugin zijn opgeslagen en pas tijdelijke WAF-bescherming toe. Een beheerde firewall die virtuele patching en monitoring omvat, zal je blootstelling aanzienlijk verminderen terwijl je de permanente oplossing implementeert.

Blijf veilig, en als je hulp nodig hebt bij het beoordelen van blootstelling of het toepassen van onmiddellijke mitigaties, staat het team van WP-Firewall klaar om te helpen.

Referenties

• CVE-2026-4020 - openbare adviesvermelding
• Gravity SMTP-plugin changelog - gepatcht in 2.1.5
• OWASP Top 10 — Richtlijnen voor blootstelling van gevoelige gegevens
• WordPress REST API ontwikkelaarshandleiding - gebruik van permission_callback

(Als je begeleiding wilt bij het verhelpen van problemen voor een of meerdere sites, neem dan contact op met de WP-Firewall-ondersteuning via je accountdashboard. Ons Basic Free-plan is een snelle, kosteloze manier om onmiddellijke bescherming toe te voegen.)