8com GmbH & Co. KG: Sicherheitslücke in WordPress-Plugin bedroht mehr als 300.000 Webseiten

April 28, 2024

Das WordPress-Plugin Forminator, das auf über 500.000 Webseiten zu finden ist, hat eine Schwachstelle, die es Angreifern erlaubt, unbeschränkte Datei-Uploads auf den Server der Webseite durchzuführen.

WordPress hat sich in den vergangenen Jahren zu einem der beliebtesten Tools für die Erstellung von Webseiten entwickelt. Unzählige Plugins ermöglichen es, hochfunktionale Webseiten auch mit einem geringen Budget zu erstellen. Doch der Erfolg von WordPress hat auch Hacker aufmerksam gemacht, immerhin ergibt sich für sie mit steigender Anzahl an WordPress-Seiten auch ein stetig wachsendes Betätigungsfeld. Nutzer sollten also Warnungen vor Sicherheitslücken ernstnehmen, wenn sie nicht Opfer von kriminellen Machenschaften werden und ihre Webseiten einem Risiko aussetzen wollen.

Das gilt auch für eine aktuelle Warnung des japanischen CERT, die in der vergangenen Woche über dessen Portal für Sicherheitswarnungen (JVN) verbreitet wurde. Demnach wurde beim WordPress-Plugin Forminator eine kritische Sicherheitslücke entdeckt, die es Angreifern erlaubt, unbegrenzt Dateien, inklusive Malware, auf Seiten hochzuladen, die das Plugin nutzen. Außerdem könnten sie sich Zugriff auf sensible Daten auf dem Server verschaffen, die Webseite bearbeiten und eine Denial-of-Service-Situation hervorrufen.

In der Warnung der japanischen Sicherheitsbehörde werden drei Sicherheitslücken aufgelistet, die für die aktuellen Probleme verantwortlich sind:

  • CVE-2024-28890, die für eine unzureichende Validierung von Datei-Uploads verantwortlich ist und die Forminator 1.29.0 sowie frühere Versionen betrifft
  • CVE-2024-31077, ein SQL-Injection-Fehler, über den Angreifer sich mit Admin-Rechten ausstatten und beliebige SQL-Abfragen von der Datenbank der Webseite ausführen können. Betroffen sind Forminator 1.29.3 und frühere Versionen.
  • CVE-2024-31857, ein Cross-Site-Scripting (XSS)-Fehler, der es Angreifern erlaubt, beliebigen HTML- und Skriptcode im Browser eines Benutzers auszuführen, falls dieser auf einen speziellen Link geklickt hat. Betroffen sind Forminator 1.15.4 und ältere Versionen.

Webseitenbetreiber, die Forminator nutzen sind dringend dazu aufgerufen, das Plugin auf die Version 1.29.3 upzugraden, bei der alle drei Fehler behoben sind. Das entsprechende Sicherheitsupdate wurde bereits am 8. April veröffentlicht. Die statistischen Daten von WordPress zeigen, dass das Update mittlerweile über 180.000 Mal heruntergeladen wurde. Im Umkehrschluss bedeutet das jedoch auch, dass weiterhin über 300.000 Webseiten anfällig für die beschriebenen Angriffe sind. Das ist besonders fahrlässig angesichts der leichten Ausnutzbarkeit der Sicherheitslücken. Auch wenn bislang keine Fälle bekannt sind, in denen die Sicherheitslücken für Angriffe genutzt wurden, dürfte es nur eine Frage der Zeit sein, bis Kriminelle ihr Glück versuchen.

Related Articles

Alle News im Überblick

Alle News im Überblick

18.05.2024 Künftige Kontaktlinse kontrolliert Computer 18.05.2024 ELF Convention 2024 in Düsseldorf und Umgebung 17.05.2024 BHE - Konjunkturumfrage: gute Geschäftslage bei Facherrichtern, trotz leichter Eintrübung 17.05.2024 Briten bauen Strahlenkanone gegen Drohnen...

Künftige Kontaktlinse kontrolliert Computer

Künftige Kontaktlinse kontrolliert Computer

Auge: Neue Hightech-Kontaktlinse steuert künftig den Computer (Foto: Helmut Strasil, pixabay.com) Smartes Hightech-System der Universität Nanjing erfasst Augenbewegungen in hoher Auflösung Neuartige intelligente Kontaktlinsen eines Teams um Fei Xu vom College of...

Briten bauen Strahlenkanone gegen Drohnen

Briten bauen Strahlenkanone gegen Drohnen

So sieht die neue britische Anti-Drohnen-Strahlenkanone aus (Foto: Gabriele Molinelli, gov.uk) Elektromagnetisches Feld zerstört zum Bruchteil der üblichen Kosten wirkungsvoll die Elektronik Ein Team des Defence Science and Technology Laboratory...

Share This