24 Lücken in populären Wordpress-Plugins

Summer of Pwnage findet Schwachstellen in Erweiterungen und Themes 24 Lücken in populären Wordpress-Plugins

01.03.2017Autor / Redakteur: Moritz Jäger / Peter Schmitz

Sicherheitsexperten haben sich populäre Plugins und Themes für Wordpress vorgenommen und diese im Rahmen des Summer of Pwnage auf Schwachstellen abgeklopft. Dabei wurden sie schnell fünding. In 24 Erweiterungen stecken Fehler, einige erlauben sogar den Zugriff auf die Wordpress-Installation.

Firma zum Thema

Trustwave Germany GmbH

Im Rahmen des Summer of Pwnage haben Experten zahlreiche Lücken gefunden.
(Bild: Wordpress)

Die Sicherheitsexperten der Bug-Suche „Summer of Pwnage“ haben sich Wordpress, dessen populäre Plugins und Themes vorgenommen. Wie immer wenn diese Experten auf Systeme losgehen, ist das Ergebnis ernüchtern. Insgesamt 24 Schwachstellen wurden gefunden, betroffen sind Themes und populäre Plugins.

Übersicht über Schwachstellen

Ein Großteil der Schwachstellen entstehen durch Cross-Site-Scripting-Lücken. Darüber können die Angreifer auf die internen Funktionen des Plugins oder Themes zugreifen. Um Ihnen einen schnelleren Überblick zu geben, haben wir alle Schwachstellen in einer Tabelle zusammengestellt:

Betroffen	Sicherheitslücke	Auswirkung	Link
Contact Form Manager - Plugin	CSRF / CSS	Ändern von Einstellungen	Details
User Login Log - Plugin	CSS	Zugriff auf Daten	Details
Adminer - Plugin	Datenbankzugriff	Zugriff auf Wordpress-Datenbank	Details
VaultPress - Plugin	Man in the Middle	Ausführen von Code	Details
Alpine PhotoTile - Plugin	CSS	Zugriff auf Daten	Details
Charitas Lite - Theme	CSS	Zugriff auf Daten	Details
Google Analytics Dashboard - Plugin	CSS	Zugriff auf Daten	Details
Popup by Supsystic - Plugin	CSRF	Zugriff auf Daten	Details
Formbuilder - Plugin	CSS	Zugriff auf Daten	Details
Atahualpa - Theme	CSS	Zugriff auf Daten	Details
Atahualpa - Theme	CSRF	Zugriff auf Daten	Details
Wordpress Download Manager - Plugin	CSRF	Zugriff auf Daten	Details
WP-SpamFree Anti-Spam - Plugin	CSS	Zugriff auf Daten	Details
WP-Filebase Download Manager - Plugin	CSS	Zugriff auf Daten	Details
TrustForm - Plugin	CSS	Zugriff auf Daten	Details
Admin Custom Login - Plugin	CSS	Zugriff auf Daten	Details
Admin Custom Login - Plugin	CSS	Zugriff auf Daten	Details
Analytics Stats Counter Statistics - Plugin	PHP Object Injection	Einspeisen von Code	Details
nBill Lite - Plugin	PHP Object Injection	Einspeisen von Code	Details
Tribulant Slideshow Galleries - Plugin	CSS	Zugriff auf Daten	Details
Doctors - Theme	CSS	Zugriff auf Daten	Details
Simple Ads Manager - Plugin	PHP Object Injection	Ausführen von Code (unbestätigt)	Details
Global Content Blocks - Plugin	CSRF	Ausführen von Code	Details
File Manager - Plugin	CSRF	Hochladen von Dateien	Details

Updates noch nicht verfügbar

Aktuell gibt es noch keine Aktualisierungen für die verschiedenen Schwachstellen. Problematisch ist, dass die Informationen bereits in der Öffentlichkeit sind. Wer eins oder mehrere dieser Plugins oder Themes verwendet, sollte die Zugriffe auf sein Blog genau überprüfen. Sobald die Updates verfügbar sind, sollten sie schnellstmöglich installiert werden. Als nächstes wollen sich die Experten rund um den Summer of Pwnage übrigens das Internet of Things vonehmen. Wenn diese Untersuchung ähnlich ausfällt, dürften einige Hersteller bereits jetzt zittern.

(ID:44550806)