WordPress steht mal wieder im Fokus einer Cyber-Kampagne. Im Fokus stehen Installationen mit einem veraltetet Custom Searchable Data Entry System-Plugin. Und im Plugin RegistrationMagic wurden mehrere Schwachstellen gefunden.
Anzeige
Angriff auf Custom Searchable Data Entry System-Plugin
Das Custom Searchable Data Entry System-Plugin dient zur Bereitstellung einer Art Suchmaschine für WordPress-Blogs. Das Plugin ist laut Webseite auf mehr als 1000 Seiten im Einsatz, WordFence gibt sogar 2000 Seiten an. Nach meinen Informationen wurde das Plugin letztmalig vor einem Jahr auf die Version 1.7.1 aktualisiert. Das Plugin wird also nicht mehr unterstützt.
Das Wordfence Threat Intelligence-Team verfolgt aktuell eine Reihe von Angriffen auf eine ungepatchte Schwachstelle im Custom Searchable Data Entry System-Plugin für WordPress. Die schätzungsweise mehr als 2.000 Websites, auf denen das Plugin läuft, sind anfällig für unauthentifizierte Datenänderung und –löschung. Das betrifft auch die Möglichkeit, den gesamten Inhalt einer Tabelle in der Datenbank einer anfälligen Website zu löschen. Mehr Details finden sich auf dieser Webseite.
Wordfence hat eine Firewall-Regel veröffentlicht, um eine WordPress-Installation mit diesem Plugin vor der Ausnutzung dieser Schwachstelle zu schützen. Benutzer von Wordfence Premium haben diese Regel bereits erhalten. Benutzer, die noch die kostenlose Version von Wordfence nutzen, werden die Regel in 30 Tagen erhalten. Ich empfehle, dieses Plugin komplett zu deinstallieren.
Schwachstelle im RegistrationMagic-Plugin
Am 24. Februar entdeckte das WordFence Threat Intelligence-Team mehrere kritische Schwachstellen im WordPress-Plugin RegistrationMagic, das auf über 10.000 Websites installiert ist. Diese Schwachstellen haben unterschiedliche Schweregrade, wobei die zwei getrennte kritischsten Schwachstellen eine Privilegien-Eskalation ermöglichen.
Anzeige
Diese Schwachstellen erlaubten es einem Angreifer mit Berechtigungen auf Abonnentenebene, die Privilegien seines Kontos auf die eines Administrators zu erhöhen. Danach können Angreifer jedes Formular auf der Website exportieren. Das betrifft auch alle Daten, die in der Vergangenheit über das Formular übermittelt wurden.
Zusätzlich konnte ein Angreifer mit Berechtigungen auf Abonnentenebene durch eine Reihe ungeschützter AJAX-Aktionen beliebige E-Mails versenden, ein benutzerdefiniertes anfälliges Formular importieren, ein vorhandenes Formular durch sein hochgeladenes Formular ersetzen und das anfällige Formular zur Registrierung eines neuen administrativen Benutzers verwenden.
Keine der vom Plugin verwendeten administrativen Funktionen beinhaltete Nonce-Prüfungen, was das Plugin anfällig für Cross-Site Request Forgery (CSRF)-Angriffe machte. Es war für einen Angreifer möglich, im Namen eines Administrators Anfragen zu fälschen, um die Einstellungen des Plugins zu aktualisieren. Das Plugin wurde vor einer Woche auf die Version 4.5.0.4 aktualisiert und ist auf über 10.000 WordPress-Seiten im Einsatz. Details zur Schwachstelle finden sich im Wordfence-Blog. Aus Sicherheitsgründen sollte man das Plugin sofort aktualisieren.
WooCommerce Smart Coupons-Schwachstelle
Ende letzten Monats wurde ein Patch für WooCommerce Smart Coupons veröffentlicht, ein kommerzielles WooCommerce-Plugin, das Shop-Manager bei der Handhabung von Gutscheinen und Geschenkgutscheinen unterstützt. In anfälligen Versionen des Plugins könnten sich nicht authentifizierte Angreifer Geschenkgutscheine beliebigen Wertes zuschicken, die gegen Produkte eingelöst werden könnten, die im Laden des Opfers verkauft werden.
Alle Nutzer von WooCommerce Smart Coupons sollten so schnell als möglich auf die neueste verfügbare Version zu aktualisieren, um das Risiko betrügerischer Geschenkgutscheine zu verringern. Typische WordPress-Benutzer aktualisieren kommerzielle Plugins weniger zuverlässig als die im WordPress-Repository, und dieser Trend setzt sich mit diesem Plugin fort. Zum Zeitpunkt der Erstellung dieses Artikels läuft auf fast neun von zehn Websites, die WooCommerce Smart Coupons verwenden, immer noch eine anfällige Version des Plugins. Details zur Schwachstelle finden sich hier.
Die allen Fälle zeigen erneut, dass es das Ziel sein muss, die Zahl der unter WordPress eingesetzten Plugins zu minimieren und die verbleibenden Plugins zeitnah zu aktualisieren. Nicht mehr gepflegte Plugins sollten umgehend deinstalliert werden.
Ähnliche Artikel:
Schwachstellen in Plugins gefährden WordPress-Seiten (Feb. 2020)
Angriffe auf Schwachstelle in WordPress Plugin Duplicator
Schwachstelle in WordPress Plugin wpCentral
WordPress ThemeGrill-Plugin mit gravierender Schwachstelle
Schwachstellen in WordPress-Plugins: GDPR Cookie Consent und Profile Builder
Code Snippets Plugin gefährdet 200.000 WordPress-Sites
WordPress: Kritische Schwachstelle in InfiniteWP Client Plugin
WordPress 5.3.2 erschienen
Anzeige
