Mobile-Menu

Summer of Pwnage findet Schwachstellen in Erweiterungen und Themes 24 Lücken in populären Wordpress-Plugins

Autor / Redakteur: Moritz Jäger / Peter Schmitz

Sicherheitsexperten haben sich populäre Plugins und Themes für Wordpress vorgenommen und diese im Rahmen des Summer of Pwnage auf Schwachstellen abgeklopft. Dabei wurden sie schnell fünding. In 24 Erweiterungen stecken Fehler, einige erlauben sogar den Zugriff auf die Wordpress-Installation.

Anbieter zum Thema

Arvato Systems
TXOne Networks
Keeper Security EMEA Ltd.
Im Rahmen des Summer of Pwnage haben Experten zahlreiche Lücken gefunden.
Im Rahmen des Summer of Pwnage haben Experten zahlreiche Lücken gefunden.
(Bild: Wordpress)

Die Sicherheitsexperten der Bug-Suche „Summer of Pwnage“ haben sich Wordpress, dessen populäre Plugins und Themes vorgenommen. Wie immer wenn diese Experten auf Systeme losgehen, ist das Ergebnis ernüchtern. Insgesamt 24 Schwachstellen wurden gefunden, betroffen sind Themes und populäre Plugins.

Übersicht über Schwachstellen

Ein Großteil der Schwachstellen entstehen durch Cross-Site-Scripting-Lücken. Darüber können die Angreifer auf die internen Funktionen des Plugins oder Themes zugreifen. Um Ihnen einen schnelleren Überblick zu geben, haben wir alle Schwachstellen in einer Tabelle zusammengestellt:

Betroffen Sicherheitslücke Auswirkung Link
Contact Form Manager - Plugin CSRF / CSS Ändern von Einstellungen Details
User Login Log - Plugin CSS Zugriff auf Daten Details
Adminer - Plugin Datenbankzugriff Zugriff auf Wordpress-Datenbank Details
VaultPress - Plugin Man in the Middle Ausführen von Code Details
Alpine PhotoTile - Plugin CSS Zugriff auf Daten Details
Charitas Lite - Theme CSS Zugriff auf Daten Details
Google Analytics Dashboard - Plugin CSS Zugriff auf Daten Details
Popup by Supsystic - Plugin CSRF Zugriff auf Daten Details
Formbuilder - Plugin CSS Zugriff auf Daten Details
Atahualpa - Theme CSS Zugriff auf Daten Details
Atahualpa - Theme CSRF Zugriff auf Daten Details
Wordpress Download Manager - Plugin CSRF Zugriff auf Daten Details
WP-SpamFree Anti-Spam - Plugin CSS Zugriff auf Daten Details
WP-Filebase Download Manager - Plugin CSS Zugriff auf Daten Details
TrustForm - Plugin CSS Zugriff auf Daten Details
Admin Custom Login - Plugin CSS Zugriff auf Daten Details
Admin Custom Login - Plugin CSS Zugriff auf Daten Details
Analytics Stats Counter Statistics - Plugin PHP Object Injection Einspeisen von Code Details
nBill Lite - Plugin PHP Object Injection Einspeisen von Code Details
Tribulant Slideshow Galleries - Plugin CSS Zugriff auf Daten Details
Doctors - Theme CSS Zugriff auf Daten Details
Simple Ads Manager - Plugin PHP Object Injection Ausführen von Code (unbestätigt) Details
Global Content Blocks - Plugin CSRF Ausführen von Code Details
File Manager - Plugin CSRF Hochladen von Dateien Details

Updates noch nicht verfügbar

Aktuell gibt es noch keine Aktualisierungen für die verschiedenen Schwachstellen. Problematisch ist, dass die Informationen bereits in der Öffentlichkeit sind. Wer eins oder mehrere dieser Plugins oder Themes verwendet, sollte die Zugriffe auf sein Blog genau überprüfen. Sobald die Updates verfügbar sind, sollten sie schnellstmöglich installiert werden. Als nächstes wollen sich die Experten rund um den Summer of Pwnage übrigens das Internet of Things vonehmen. Wenn diese Untersuchung ähnlich ausfällt, dürften einige Hersteller bereits jetzt zittern.

(ID:44550806)

Weiterführende Inhalte