| Pluginnaam | WP-statistieken |
|---|---|
| Type kwetsbaarheid | Gebroken toegangscontrole |
| CVE-nummer | CVE-2026-3488 |
| Urgentie | Medium |
| CVE-publicatiedatum | 2026-04-19 |
| Bron-URL | CVE-2026-3488 |
Gebroken Toegangscontrole in WP Statistics (≤ 14.16.4) — Wat Site-eigenaren Nu Moeten Doen
Auteur: WP-Firewall Beveiligingsteam
Datum: 2026-04-17
Samenvatting: Een kwetsbaarheid in de gebroken toegangscontrole (CVE-2026-3488) in de WP Statistics-plugin (versies ≤ 14.16.4) stelt geauthenticeerde gebruikers met de rol van Abonnee in staat om gevoelige analytics en privacy/auditinstellingen te benaderen/wijzigen. Deze post legt het technische risico, realistische aanvalscenario's, detectie- en containmentstappen, langetermijnmaatregelen en hoe je je sites kunt beschermen met WP‑Firewall (inclusief ons gratis plan) uit.
Inhoudsopgave
- Feiten
- Wat er is gebeurd (technisch overzicht)
- Waarom dit gevaarlijk is voor WordPress-sites
- Aanvalscenario's uit de echte wereld
- Hoe te vertellen of je bent doelwit of gecompromitteerd
- Onmiddellijke mitigatie (stapsgewijs)
- Hoe WP‑Firewall je beschermt (regels, virtuele patching, monitoring)
- Voorbeelden van tijdelijke WAF-regels (hoog niveau, veilig)
- Herstel- en checklist voor post-incident verhoging van de beveiliging
- Preventieve best practices voor plugin-, gebruiker- en sitehygiëne
- Veelgestelde vragen
- Krijg beheerde firewallbescherming met het WP‑Firewall Gratis Plan
- Laatste gedachten
Feiten
- Aangetaste plugin: WP Statistics (WordPress-plugin)
- Kwetsbare versies: ≤ 14.16.4
- Opgelost in: 14.16.5
- CVE: CVE-2026-3488
- Classificatie: Gebroken Toegangscontrole (OWASP A1)
- CVSS (gerapporteerd): 6.5 (Gemiddeld)
- Vereiste bevoegdheid voor exploit: Abonnee (geauthenticeerd maar met lage bevoegdheden)
Als je WordPress draait en WP Statistics hebt geïnstalleerd, lees dan deze hele post en handel nu. Gebroken toegangscontrole is een veelvoorkomende oorzaak van veel compromitteringen omdat het aanvallers in staat stelt om functies te escaleren of te misbruiken die bedoeld waren om beperkt te zijn.
Wat er is gebeurd (technisch overzicht)
De kwetsbaarheid is een probleem met gebroken toegangscontrole in WP Statistics vóór 14.16.5. Kort gezegd, bepaalde plugin-eindpunten (AJAX of REST-stijl operaties) ontbraken de juiste autorisatiecontroles. Dit stelde een geauthenticeerde gebruiker met een Abonnee-account — een rol met minimale mogelijkheden — in staat om acties uit te voeren of gegevens op te vragen die gereserveerd hadden moeten zijn voor gebruikers met hogere bevoegdheden (beheerders of sitebeheerders).
Specifiek:
- Gevoelige analytics- en rapportagedata konden worden gelezen door een ongeautoriseerd, laaggeprivilegieerd account.
- Privacy- en auditinstellingen konden worden gemanipuleerd door de ongeautoriseerde gebruiker, wat mogelijk het uitschakelen of wijzigen van site-audit/telemetrie-opties inhield.
- De plugin ontbrak aan controles die de mogelijkheid van de beller verifieerden (bijvoorbeeld, het verifiëren van current_user_can(‘manage_options’) of het verifiëren van een sterke nonce in het verzoek) op bepaalde acties.
Dit is geen externe niet-geauthenticeerde RCE of SQL-injectie, maar de impact is reëel en uitbuitbaar: site-analyse (die IP's, verwijzers of andere identificatoren kan bevatten) kan worden blootgesteld, en privacy-/auditcontroles kunnen worden gemanipuleerd om sporen van misbruik te verbergen.
Waarom dit gevaarlijk is voor WordPress-sites
Gebroken toegangscontrole is een van de meest uitgebuite kwetsbaarheidsklassen omdat het de vertrouwensgrens tussen gebruikersrollen ondermijnt. Zelfs als een aanvaller alleen een Subscriber-account kan aanmaken (bijvoorbeeld via openbare registratie), kunnen ze dat account vaak gebruiken om meer invloed te krijgen als de eindpunten van de plugin die rol accepteren.
Gevolgen zijn onder andere:
- Blootstelling van gevoelige informatie: analyses kunnen IP-adressen, user agent-strings of zelfs informatie bevatten die helpt bij het in kaart brengen van inloggedrag - nuttig voor verkenning en vervolgaanvallen.
- Manipulatie van privacy/audit: een aanvaller zou logging kunnen uitschakelen of privacy-instellingen kunnen wijzigen om hun sporen te verbergen (bijv. het uitschakelen van retentie of anonimisering).
- Gegevensverzameling: een aanvaller zou analyses kunnen exporteren om gerichte lijsten voor fraude, phishing of ander misbruik op te bouwen.
- Laterale beweging: informatie verkregen uit analyses kan worden gebruikt om spear-phishing of gerichte inloggegevensaanvallen te creëren die leiden tot privilege-escalatie.
- Compliance/merk risico: lekken van analyses en gebruikersgerelateerde metadata kunnen privacy- en regelgevende gevolgen hebben.
Omdat de kwetsbaarheid een geauthenticeerd account met Subscriber-rechten vereist, kan deze triviaal worden uitgebuit op sites die openbare accountregistratie toestaan, of op sites met gecompromitteerde laagprivilege-accounts.
Aanvalscenario's uit de echte wereld
Hieronder staan realistische aanvalspaden die aanvallers zouden kunnen volgen met behulp van deze gebroken toegangscontrole:
-
Openbare registratie verkenning:
- Aanvaller registreert zich als een Subscriber (als registratie open is).
- Roept het kwetsbare eindpunt aan om analytische exports te downloaden die bezoekers-IP's en verwijzers bevatten.
- Gebruikt de gegevens om IP's of paden van bevoorrechte gebruikers te vinden om uit te buiten of te targeten.
-
Gecompromitteerd laagprivilege-account pivot:
- Aanvaller verkrijgt inloggegevens voor een bestaand Subscriber-account (credential stuffing, gelekte wachtwoordlijst).
- Leest analyses om admin inlogtijden en IP's te identificeren, en probeert vervolgens brute-force of social engineering op het admin-account.
- Manipuleert privacy/auditinstellingen om logging voor volgende acties te verminderen.
-
Privacy-eroding en stealth:
- Na het verkrijgen van persistente toegang, schakelt de aanvaller instellingen om om logs te anonimiseren of te verwijderen.
- Dit vermindert bewijs en bemoeilijkt het onderzoek na een incident.
-
Blinde massadoelwitten:
- Geautomatiseerde bots creëren Abonnee-accounts op veel sites (indien registratie toegestaan) en verzamelen analytics in massa om een verkenningsdatabase op te bouwen voor verdere aanvallen.
Het begrijpen van deze voorbeelden helpt bij het prioriteren van onmiddellijke stappen: herstel de plugin, controleer gebruikersregistraties en pas perimeterbescherming toe.
Hoe te vertellen of je bent doelwit of gecompromitteerd
Indicatoren van compromittering (IoCs) en rode vlaggen:
- Onverwachte wijzigingen in de WP Statistics-instellingen of privacy/auditopties.
- Nieuwe of onbekende Abonnee-accounts — controleer recente registratiegeschiedenis.
- Plotselinge export- of downloadactiviteit van analytics-pagina's (grote exports in logs).
- Ontbrekende of gemanipuleerde auditlogs waar je verwacht dat ze bestaan.
- Beheerders ontvangen inlogpogingen van IP's die in analytics zijn vermeld na een export.
- Onverwachte uitgaande verbindingen of gegevensexfiltratie in serverlogs die correleren met plugin-eindpunten.
Waar te kijken:
- WordPress-gebruikerslijst (Gebruikers > Alle Gebruikers): filter op rol = Abonnee; bekijk recente aanmaakdata en IP's indien beschikbaar.
- Webservertoegangslogs: zoek naar POST/GET-verzoeken naar plugin-specifieke admin-ajax-eindpunten of REST-eindpunten rond de tijd dat instellingen zijn gewijzigd.
- Pluginlogs en WordPress debug.log (indien ingeschakeld): zoek naar verzoeken naar WP Statistics-bestanden of acties.
- Hosting controlepaneel / beveiligingspluginlogs: zoek naar pieken in verzoeken of herhaalde toegang van een kleine set IP's.
Als je verdachte artefacten vindt, volg dan onmiddellijk de containment-stappen (zie volgende sectie).
Onmiddellijke mitigatie (stapsgewijs)
Als je een kwetsbare versie draait (≤ 14.16.4), doe dan het volgende zonder uitstel:
-
Update de plugin (beste, snelste oplossing)
- Werk WP Statistics bij naar versie 14.16.5 of later zo snel mogelijk.
- Test de update eerst op staging als je risico-avers bent, maar geef prioriteit aan snelle implementatie voor productie-sites met een hoger risico.
-
Als je niet onmiddellijk kunt updaten: pas tijdelijke mitigatie(s) toe.
- Deactiveer de WP Statistics-plugin tijdelijk. Dit verwijdert het aanvalsvlak.
- Als je onmiddellijk analysemateriaal nodig hebt, deactiveer dan gebruikersregistraties of beperk wie Subscriber-accounts kan aanmaken:
- Instellingen > Algemeen → Lidmaatschap: vink “Iedereen kan zich registreren” uit.
- Beperk de toegang tot plugin-eindpunten met een Web Application Firewall (WAF). Blokkeer of dwing autorisatiecontroles af op AJAX/REST-eindpunten die door de plugin worden gebruikt. (Zie de WAF-sectie voor aanbevolen regelpatronen.)
-
Verstevigen van gebruikersaccounts
- Dwing een wachtwoordreset af voor alle gebruikers met onbetrouwbare of onbekende e-mailadressen.
- Verwijder of deactiveer verdachte Subscriber-accounts.
- Handhaaf sterke wachtwoorden en schakel multi-factor authenticatie in voor gebruikers met hogere privileges (beheerders, redacteuren).
-
Herstellen en auditen
- Maak een volledige back-up van sitebestanden en de database voordat je grote wijzigingen aanbrengt (bijwerken, herstellen of terugdraaien).
- Als je manipulatie detecteert, bewaar dan logboeken en bewijs voor forensisch onderzoek.
-
Monitoren op vervolgacties
- Blijf logboeken controleren op verdachte activiteiten gedurende ten minste 30 dagen na het patchen: ongebruikelijke admin-logins, instellingenwijzigingen of grote bestande-exporten.
Het bijwerken van de plugin is de definitieve oplossing—tijdelijke mitigaties verminderen het risico maar moeten niet worden gezien als vervangers voor het toepassen van de gepatchte release.
Hoe WP-Firewall u beschermt
Als makers en operators van WP‑Firewall is onze aanpak voor deze klasse kwetsbaarheden gelaagd: we combineren beheerde WAF-regels (virtuele patching), perimeterbewaking, scannen en herstel om de tijd tot bescherming te verkorten, zelfs voordat een update kan worden toegepast.
Belangrijke bescherming geboden door WP‑Firewall:
- Beheerde virtuele patching (WAF-regels)
- We duwen regels om bekende exploitpatronen te blokkeren die gericht zijn op WP Statistics-eindpunten die geen autorisatiecontroles hebben. Deze regels voorkomen dat kwaadaardige verzoeken de kwetsbare pluginfuncties bereiken en kunnen onmiddellijk actief zijn in ons netwerk.
- Gedragsgebaseerde aanvaldetectie
- WP‑Firewall analyseert aanvraagpatronen (bijv. frequente analytics-exporten, herhaalde oproepen naar plugin-eindpunten, ongebruikelijke user agent-strings) en genereert waarschuwingen, beperkt de aanstootgevende bronnen of blokkeert ze automatisch.
- Malware-scanning en opruiming
- Onze scanner inspecteert pluginbestanden en bekende plugin-dumpbestanden om wijzigingen, onverwachte bestanden of achterdeurtjes die door aanvallers zijn achtergelaten te markeren.
- Beheerde firewall en onbeperkte bandbreedte
- Bescherming blijft bestaan, ongeacht hoge verkeerspieken of aanvalvolume — dit is belangrijk tijdens massale uitbuitpogingen.
- Auditlogs en incidentwaarschuwingen
- We bieden logging en meldingen voor geblokkeerde pogingen en verdacht gedrag, zodat je snel kunt reageren.
- Automatische mitigatie van OWASP Top 10-risico's
- Onze basisregels richten zich op veelvoorkomende problemen (gebroken toegangscontrolepatronen, CSRF, injectie, enz.) zodat generieke varianten van een exploit vaak worden gemitigeerd, zelfs voordat een gerichte regel is gemaakt.
Waarom virtuele patching belangrijk is
- Er is altijd een venster van risico tussen openbaarmaking en installatie van de patch op elke site. Virtuele patching verkleint dat venster door een regel toe te voegen die exploitverkeer aan de rand blokkeert.
- Het is vooral waardevol wanneer sites niet onmiddellijk kunnen updaten (compatibiliteitstests, wijzigingsbevriezingen of handmatige implementatieprocessen).
Opmerking: virtuele patching is een mitigatielaag, geen vervanging voor het toepassen van door de leverancier geleverde updates. Update altijd de plugin naar de gepatchte versie.
Voorbeelden van tijdelijke WAF-regels (hoog niveau, veilig)
Hieronder bieden we algemene, niet-exploit-specifieke patronen die een WAF zou moeten toepassen om deze klasse van gebroken toegangscontrole te mitigeren zonder interne exploitcode bloot te stellen. Dit zijn conceptuele richtlijnen; WP‑Firewall-klanten ontvangen automatisch afgestemde regels.
-
Blokkeer ongeautoriseerde oproepen naar plugin-specifieke admin-eindpunten, tenzij de aanvraag een geldige admin-capaciteit of een geldige nonce bevat:
– Als het aanvraagpad overeenkomt met (*/wp-admin/admin-ajax.php?*action=wpstatistics_* OF */wp-json/wp-statistics/*) EN de aanvraag afkomstig is van een geauthenticeerde sessie met rol Abonnee (of geen geauthenticeerde sessie) EN er geen admin-capaciteit aanwezig is → blokkeer/weiger of retourneer 403. -
Beperk de snelheid van analytics-exporteindpunten:
– Als een enkel IP of geauthenticeerd account meer dan X exporten/downloads aanvraagt binnen Y minuten → beperk of blokkeer en waarschuw de site-eigenaar. -
Voorkom privilege-alterende acties van laaggeprivilegieerde rollen:
– Als een aanvraag privacy-/auditinstellingen wijzigt en de aanroeper zich niet in een hooggeprivilegieerde rol bevindt (bijv. geen Administrator of Manager) → blokkeer. -
Blokkeer verdachte door gebruikers gemaakte registratie-activiteit:
– Als de site registratie toestaat en je ziet een hoge omloop van nieuwe Abonnee-accounts vanuit hetzelfde IP-bereik of dezelfde user-agent, handhaaf CAPTCHA of schakel registratie tijdelijk uit. -
Log en meld:
– Voor elke regeltrigger, verzamel verzoekmetadata (IP, user-agent, tijdstempel, hash van de verzoekbody) en stuur een beknopte waarschuwing naar beheerders.
Belangrijk: WAF-regels moeten worden getest om valse positieven te verminderen. Daarom biedt WP‑Firewall beheerde regelafstemming en gefaseerde uitrol voor klanten.
Herstel- en checklist voor post-incident verhoging van de beveiliging
Als je exploitatie of verdachte activiteit bevestigt, volg dan deze stappen in volgorde:
-
Bevatten
- Deactiveer de kwetsbare plugin of pas de WAF-regel toe om relevante eindpunten te blokkeren.
- Deactiveer tijdelijke openbare registratie.
- Blokkeer verdachte IP's op het firewallniveau (tijdelijk).
-
Bewijsmateriaal bewaren
- Maak een snapshot van het bestandssysteem en de database.
- Bewaar webserverlogs, toegangslogs en pluginlogs.
-
Uitroeien
- Werk WP Statistics bij naar 14.16.5 of later (na het maken van een back-up).
- Vervang gewijzigde pluginbestanden door schone kopieën uit het officiële pluginpakket.
- Voer een volledige malware-scan uit en verwijder eventuele achterdeurtjes.
-
Herstellen
- Reset wachtwoorden voor administratieve accounts en verdachte gebruikers.
- Herstel monitoring en sta normale operaties toe zodra je vertrouwen hebt.
-
Acties na het incident
- Draai API-sleutels, tokens of geheimen die op de site worden gebruikt.
- Voer een volledige audit uit van gebruikersrollen en verwijder onnodige Abonnee-accounts.
- Bekijk audit- en privacy-instellingen om ervoor te zorgen dat ze de gewenste controles weerspiegelen.
-
Meld en leer
- Documenteer het incident, de tijdlijn, de genomen acties en de geleerde lessen.
- Pas beleidswijzigingen toe om herhaling te voorkomen (bijv. openbare registratie uitschakelen, e-mailverificatie en CAPTCHA introduceren).
Als je beperkte beveiligingsmiddelen hebt of hulp nodig hebt bij opruimen en herstel, overweeg dan een beheerde beveiligingsdienst om te helpen met containment, forensische analyse en langdurige versterking.
Preventieve best practices voor plugin-, gebruiker- en sitehygiëne
Het WP Statistics-probleem benadrukt brede klassen van onderhouds- en beveiligingspraktijken die het risico in het algemeen verminderen.
Pluginbeheer
- Houd plugins up-to-date. Gebruik een staging-omgeving om updates te testen voordat ze in productie gaan, maar geef prioriteit aan beveiligingspatches.
- Installeer alleen plugins van gerenommeerde bronnen en controleer periodiek geïnstalleerde plugins op onderhoudstatus en actieve ontwikkeling.
- Verwijder ongebruikte plugins en thema's volledig (niet alleen gedeactiveerd).
Gebruikers- en rolhygiëne
- Vermijd het toekennen van meer privileges dan nodig. Gebruik het principe van de minste privilege.
- Schakel open registraties uit, tenzij nodig. Als registratie vereist is, vereis dan e-mailverificatie en voeg CAPTCHA of 2FA toe.
- Voer periodiek een audit uit van gebruikers: verwijder inactieve of verdachte accounts.
Code- en capaciteitscontroles
- Zorg ervoor dat bij het ontwikkelen of beoordelen van WP-plugins alle admin- of gevoelige acties worden beschermd door:
- capaciteitscontroles: current_user_can(‘manage_options’) of vergelijkbaar
- nonce-controles: check_admin_referer() of wp_verify_nonce()
- rolgebaseerde filtering voor REST-eindpunten (permission_callback handler)
- Test eindpunten met laagprivilege-accounts om ervoor te zorgen dat de juiste beperkingen zijn ingesteld.
Monitoring en detectie
- Onderhoud toegang en auditlogging (serverlogs, pluginlogs). Stuur logs indien mogelijk door naar een centrale locatie of SIEM.
- Maak gebruik van een WAF of beheerde firewall met virtuele patchingcapaciteit.
- Gebruik geplande kwetsbaarheidsscans van uw WordPress-sites.
Back-ups en herstel
- Zorg voor regelmatige back-ups die gescheiden zijn van uw hostingomgeving (offsite back-ups).
- Test periodiek de herstelprocedures.
Operationele controles
- Introduceer onderhoudsvensters en een noodpatchplaybook zodat beveiligingsfixes snel kunnen worden toegepast.
- Train teams om sociale-engineeringaanvallen te herkennen die kunnen volgen op informatieverzameling.
Veelgestelde vragen (FAQ)
- Q: Moet ik WP Statistics onmiddellijk uitschakelen als ik op een kwetsbare versie zit?
- A: Als je onmiddellijk kunt updaten naar 14.16.5 of later, doe dat dan. Als je dat niet kunt, verwijdert het tijdelijk uitschakelen van de plugin het aanvalsvlak. Pas anders een edge WAF-regel toe om de kwetsbare eindpunten te blokkeren totdat je kunt updaten.
- Q: De kwetsbaarheid vereist Subscriber-rechten — wat als mijn site geen nieuwe gebruikers toestaat?
- A: Als je geen openbare registratie hebt en zeker weet dat er geen accounts met lage rechten bestaan, is je risico lager. Desondanks kan een aanvaller nog steeds een Subscriber-inloggegevens verkrijgen (credential stuffing, gelekt wachtwoord), dus het blijft aanbevolen om te patchen.
- Q: Zal de bescherming van WP‑Firewall aanvallers voor altijd stoppen?
- A: Virtueel patchen blokkeert momenteel bekende exploitpatronen en vermindert het risico aanzienlijk terwijl je update, maar het is geen vervanging voor de patch van de leverancier. Update altijd naar de gefixte pluginversie zodra dat mogelijk is.
- Q: Hoe monitor ik of de WAF exploitatiepogingen heeft geblokkeerd?
- A: WP‑Firewall logt geblokkeerde triggers en biedt meldingen voor relevante gebeurtenissen; bekijk het dashboard en configureer e-mail/SMS-alarmen indien nodig.
- Q: Kan ik veilig doorgaan met het gebruik van WP Statistics na de update?
- A: Ja—eenmaal bijgewerkt naar 14.16.5+ zou de plugin de nodige autorisatiecontroles moeten hebben. Volg standaard hardening-praktijken en blijf monitoren.
Krijg beheerde firewallbescherming met het WP‑Firewall Gratis Plan
Start onmiddellijke, essentiële bescherming voor je WordPress-site
Als je één of meerdere WordPress-installaties beheert, hoef je niet te kiezen tussen snelheid en veiligheid. Het Basis (Gratis) plan van WP‑Firewall biedt essentiële beheerde bescherming die je blootstelling vermindert tijdens gebeurtenissen zoals de gebroken toegangscontrole openbaarmaking van WP Statistics. Ons gratis plan omvat:
- Beheerde firewall met automatisch gepushte virtuele patchregels
- Web Application Firewall (WAF) die veelvoorkomende plugin-eindpunten beschermt
- Onbeperkte bandbreedte voor het afhandelen van aanvalverkeer
- Malware-scanner om verdachte of gewijzigde pluginbestanden te detecteren
- Automatische mitigatie van OWASP Top 10-risico's om veelvoorkomende aanvalspatronen te blokkeren
Meld je aan voor het gratis plan en krijg onmiddellijke bescherming terwijl je updates en audits plant: https://my.wp-firewall.com/buy/wp-firewall-free-plan/
(Als je aanvullende controles nodig hebt zoals automatische verwijdering, IP-blacklist/witlijst, maandelijkse rapporten of premium ondersteuning, voegen onze Standaard en Pro-niveaus die mogelijkheden toe.)
Laatste gedachten
Gebroken toegangscontrole blijft een veelvoorkomende en gevaarlijke kwetsbaarheidsklasse omdat het aanvallers in staat stelt om bedoelde privilegegrenzen te omzeilen. De kwetsbaarheid van WP Statistics (CVE-2026-3488) is een duidelijke herinnering: zelfs accounts met lage rechten kunnen worden benut om gevoelige inzichten te verkrijgen en sporen te verdoezelen wanneer plugins geen robuuste capaciteits- en nonce-controles uitvoeren.
Wat nu te doen:
- Controleer je WP Statistics-versie. Als ≤ 14.16.4, update dan onmiddellijk naar 14.16.5+.
- Als je niet meteen kunt updaten, schakel dan de plugin uit of pas edge-bescherming (WAF) toe om de kwetsbare eindpunten te blokkeren.
- Beoordeel gebruikersregistraties, verwijder verdachte abonnee-accounts en handhaaf sterke authenticatie voor gebruikers met hogere privileges.
- Gebruik gelaagde bescherming: scannen, virtueel patchen, gedrag-gebaseerde blokkering en logging — aangeboden in het gratis plan van WP‑Firewall — om je tijd tot bescherming te verkorten.
- Leer van het incident: verstevig gebruikersrollen, handhaaf updatevensters en houd back-ups en monitoring actief.
Als je hulp wilt bij het toepassen van een op maat gemaakte mitigatie, het beoordelen van logs op indicatoren van compromittering, of het opzetten van WP‑Firewall op meerdere sites, staat ons team klaar om te helpen. Beveiligingsincidenten zijn stressvol; de juiste combinatie van snelle mitigatie, zorgvuldige forensische analyse en juiste patching zal de controle herstellen en toekomstige risico's verminderen.
Blijf veilig en geef prioriteit aan oplossingen voor elke plugin op je site die admin-achtige functies beheert — analytics en privacy-instellingen zijn gevoeliger dan ze lijken.
