Una vulnerabilità di un plugin è una debolezza di sicurezza nel software aggiuntivo usato per estendere un'applicazione più ampia, come un browser, un CMS o una piattaforma enterprise. Poiché i plugin spesso vengono eseguiti con le autorizzazioni dell'applicazione host, un difetto in un singolo plugin può esporre l'intero sistema.
Queste debolezze sono importanti perché i plugin sono comuni e spesso considerati affidabili. Gli attaccanti cercano add-on obsoleti, scritti male o raramente mantenuti per ottenere l'esecuzione remota di codice, rubare dati, aggirare l'autenticazione o installare malware. In pratica, plugin di WordPress sfruttati, estensioni SAP vulnerabili e add-on simili possono diventare un punto di ingresso semplice quando i difensori non notano gli aggiornamenti o l'inventario.
I difensori riducono il rischio tenendo traccia dei plugin installati, rimuovendo quelli non usati, applicando rapidamente le patch, limitando i privilegi e testando la presenza di debolezze note. Una buona igiene dei plugin aiuta a ridurre la superficie di attacco prima che un attaccante possa sfruttarla.