Das Plugin WP Fastest Cache zur Optimierung der Ladezeiten von WordPress-Websites bot Angriffsmöglichkeiten für Cross-Site-Scripting (XSS) und SQL Injection. Für die mehr als eine Million Nutzer des Cache-Plugins steht ein Update bereit: WP Fastest Cache 0.9.5 beseitigt die in allen früheren Versionenvorhandenen Sicherheitsprobleme.
Wer das Plugin noch nicht aktualisiert hat, sollte dies möglichst zügig nachholen. Die Entdecker der Schwachstellen stufen das Sicherheitsrisiko als "hoch" bis "kritisch" ein. Die abgesicherte Version ist seit vergangener Woche auf der Download-Site von WP Fastest Cache verfügbar.
Der Score 7.7 bezieht sich auf eine Möglichkeit der SQL-Injection, die allerdings nur unter bestimmten Voraussetzungen besteht: Der Angreifer muss als "normaler" Nutzer angemeldet sein und in der angegriffenen WP-Installation muss zugleich auch das Plugin "Classic Editor" installiert sein. Sind diese Voraussetzungen gegeben, ist das Abgreifen sensibler Daten wie etwa Nutzernamen in Kombination mit Passwort-Hashes denkbar.
Die mit 9.6 bewertete Angriffsmöglichkeit besteht auch ohne solche Einschränkungen, erfordert allerdings eine Nutzerinteraktion mit der Website: Im Zuge eines so genannten Cross-Site-Request-Forgery-Angriffs ist es möglich, beliebige Aktionen mit den Rechten des Admins auszuführen, der während des Angriffs angemeldet war. Zudem könnte der Angreifer dauerhaft schädlichen Code in die betreffende Website einschleusen, der später beispielsweise für "Stored XSS"-Angriffe verwendet werden kann.
Quelle: heise
Wer das Plugin noch nicht aktualisiert hat, sollte dies möglichst zügig nachholen. Die Entdecker der Schwachstellen stufen das Sicherheitsrisiko als "hoch" bis "kritisch" ein. Die abgesicherte Version ist seit vergangener Woche auf der Download-Site von WP Fastest Cache verfügbar.
Unbefugte Zugriffsmöglichkeiten
Ein Blogeintrag der Firma Jetpack nennt Details zu den beiden Schwachstellen, die seltsamerweise ein und dieselbe CVE-ID (CVE-2021-24869), jedoch unterschiedliche Beschreibungen und CVSS-Scores (7.7/"High" bzw. 9.6/"Critical") aufweisen.Der Score 7.7 bezieht sich auf eine Möglichkeit der SQL-Injection, die allerdings nur unter bestimmten Voraussetzungen besteht: Der Angreifer muss als "normaler" Nutzer angemeldet sein und in der angegriffenen WP-Installation muss zugleich auch das Plugin "Classic Editor" installiert sein. Sind diese Voraussetzungen gegeben, ist das Abgreifen sensibler Daten wie etwa Nutzernamen in Kombination mit Passwort-Hashes denkbar.
Die mit 9.6 bewertete Angriffsmöglichkeit besteht auch ohne solche Einschränkungen, erfordert allerdings eine Nutzerinteraktion mit der Website: Im Zuge eines so genannten Cross-Site-Request-Forgery-Angriffs ist es möglich, beliebige Aktionen mit den Rechten des Admins auszuführen, der während des Angriffs angemeldet war. Zudem könnte der Angreifer dauerhaft schädlichen Code in die betreffende Website einschleusen, der später beispielsweise für "Stored XSS"-Angriffe verwendet werden kann.
Quelle: heise
