Ein Angreifer kann laut einer Sicherheitsberatung des CERT‑Bund mehrere Schwachstellen in WordPress ausnutzen, um Cross‑Site‑Scripting (XSS) durchzuführen, Privilegien zu erhöhen, Informationen offenzulegen und Sicherheitsvorkehrungen zu umgehen.
Betroffene Komponenten
Die Analyse zeigt, dass sowohl das Kernsystem von WordPress als auch verbreitete Plugins von den Fehlkonfigurationen betroffen sind. Insbesondere Eingabefelder, die nicht ausreichend filtern, ermöglichen das Einschleusen von Schadcode.
Technische Details der Schwachstellen
Die XSS‑Lücken beruhen auf unzureichender Validierung von Nutzer‑Input in JavaScript‑Callbacks. Weiterhin erlauben mehrere Privilegien‑Escalation‑Fehler, dass ein normaler Benutzer administrative Rechte erlangen kann, wenn er speziell formatierte Anfragen sendet.
Mögliche Auswirkungen
Durch die Ausnutzung kann ein Angreifer Sitzungs‑Cookies stehlen, vertrauliche Daten einsehen und Schadcode auf dem Server ausführen. Die Umgehung von Sicherheitsmechanismen erhöht das Risiko einer dauerhaften Kompromittierung der gesamten Installation.
Empfohlene Gegenmaßnahmen
Der CERT‑Bund rät Administratoren, alle betroffenen WordPress‑Instanzen unverzüglich zu patchen, nicht mehr benötigte Plugins zu entfernen und die Eingabefilterung zu verstärken. Zusätzlich sollten regelmäßige Sicherheits‑Scans durchgeführt werden.
Weiterführende Informationen
Weitere Details, einschließlich konkreter Versionsangaben und Download‑Links zu den Patches, sind in der vollständigen Sicherheitsberatung des CERT‑Bund verfügbar.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung