Es gibt Schwachstellen in Erweiterungen und Themes – entdeckt von Summer of Pwnage

15. März 2017, von Redakteur

 

wordpress-1414398_1920

In populären WordPress-Plugins sind 24 Lücken vorhanden. Populäre Plugins und Themes für WordPress untersuchten Experten auf Schwachstellen. Dies geschah im Rahmen von Summer of Pwnage. Sie fanden Fehler in 24 Erweiterungen. Sogar den Zugriff auf WordPress-Installation gestatteten einige Erweiterungen. WordPress und seine Themes und Plugins standen im Fokus der Sicherheitsexperten, die sich auf die Bug-Suche „Summer of Pwnage“ begaben. Es kommt immer zu ernüchternden Ergebnissen, wenn sich diese Profis mit Systemen befassen. Auch diesmal fanden sie 24 Schwachstellen, hauptsächlich bei populären Plugins sind Themes.

Übersicht der gefundenen Schwachstellen

Cross-Site-Scripting-Lücken sind die Ursache für die Mehrzahl der Schwachstellen. Über diese erfolgt ein  Zugriff auf interne Funktionen von Themes und Plugins. Hier eine kurze Tabelle der Schwachstellen:

Betroffen: Sicherheitslücke: Auswirkung

  • Adminer – Plugin: Zugriff auf Datenbank: Auf WordPress-Datenbank kann zugegriffen werden
  • Admin Custom Login – Plugin: Zugriff auf CSS: Auf Daten kann zugegriffen werden
  • Alpine PhotoTile  – Plugin: Zugriff auf CSS: Auf Daten kann zugegriffen werden
  • Analytics Stats Counter Statistics – Plugin: Zugriff auf PHP Object Injection: Code kann eingespeist werden
  • Atahualpa – Theme: Zugriff auf  CSS / CSRF: Auf Daten kann zugegriffen werden
  • Contact Form Manager – Plugin: Zugriff auf CSRF / CSS: Einstellungen können verändert werden
  • Charitas Lite – Theme: Zugriff auf CSS: Auf Daten kann zugegriffen werden
  • Doctors – Theme: Zugriff auf CSS: Auf Daten kann zugegriffen werden
  • File Manager – Plugin: Zugriff auf CSRF: Dateien können hochladen werden
  • Formbuilder – Plugin: Zugriff auf CSS: Auf Daten kann zugegriffen werden
  • Google Analytics Dashboard – Plugin: Zugriff auf CSS: Auf Daten kann zugegriffen werden
  • Global Content Blocks – Plugin: Zugriff auf CSRF: Code kann ausgeführt werden
  • nBill Lite – Plugin: Zugriff auf PHP Object Injection: Code kann eingespeist  werden
  • Popup by Supsystic – Plugin: Zugriff auf CSRF: Auf Daten kann zugegriffen werden
  • Simple Ads Manager – Plugin: PHP Object Injection: (nicht bestätigt) Code kann ausgeführt werden
  • Tribulant Slideshow Galleries – Plugin: Zugriff auf CSS: Auf Daten kann zugegriffen werden
  • TrustForm – Plugin: Zugriff auf CSS: Auf Daten kann zugegriffen werden
  • User Login Log – Plugin: Zugriff auf CSS: Auf Daten kann zugegriffen werden
  • VaultPress – Plugin: Zugriff auf Man in the Middle: Code kann ausgeführt werden
  • WordPress Download Manager – Plugin: Zugriff auf CSRF: Auf Daten kann zugegriffen werden
  • WP-SpamFree Anti-Spam – Plugin: Zugriff auf CSS: Auf Daten kann zugegriffen werden
  • WP-Filebase Download Manager – Plugin: Zugriff auf  CSS: Auf Daten kann zugegriffen werden

Noch keine Updates verfügbar

Für die gefundenen Schwachstellen sind bisher keine Aktualisierungen vorhanden. Diese Informationen sind schon in der Öffentlichkeit, was problematisch ist. Wer solche Themes oder Plugins oder Themes nutzt, sollte überprüfen, wer auf seinem Blog zugreift und die Updates umgehend installieren, sobald sie verfügbar sind. Das nächste Projekt der Experten von Summer of Pwnage ist das Internet of Things.