Sicherheitslücke in WordPress-Plugin gefährdet über 100.000 Websites

LONDON (IT BOLTWISE) – Eine kritische Sicherheitslücke in einem beliebten WordPress-Plugin hat potenziell über 100.000 Websites weltweit gefährdet. Diese Schwachstelle könnte es Angreifern ermöglichen, die vollständige Kontrolle über betroffene Websites zu erlangen.

Eine kürzlich entdeckte Sicherheitslücke im TI WooCommerce Wishlist Plugin für WordPress hat die Aufmerksamkeit der IT-Sicherheitsgemeinschaft auf sich gezogen. Diese Schwachstelle betrifft alle Versionen des Plugins bis einschließlich Version 2.9.2, die am 29. November 2024 veröffentlicht wurde. Die Lücke ermöglicht es unautorisierten Nutzern, beliebige Dateien auf den Server hochzuladen, was im schlimmsten Fall zur vollständigen Kontrolle über die betroffene Website führen kann.

Der Sicherheitsforscher John Castro von Patchstack hat die Schwachstelle eingehend analysiert. Der Kern des Problems liegt in der Funktion tinvwl_upload_file_wc_fields_factory, die die native WordPress-Funktion wp_handle_upload nutzt. Allerdings verändert das Plugin die Sicherheitsparameter test_form und test_type auf false, wodurch die Überprüfung des Dateityps effektiv deaktiviert wird und bösartige Inhalte ungehindert hochgeladen werden können.

Es gibt jedoch eine Einschränkung: Die genannte Funktion ist nur aktiv, wenn das WC Fields Factory Plugin auf der Website installiert und aktiviert ist. Dies bedeutet, dass die Schwachstelle nur in einem bestimmten Szenario ausgenutzt werden kann, nämlich wenn beide Plugins zusammenarbeiten. Bei einem erfolgreichen Angriff könnte ein Angreifer eine schädliche PHP-Datei auf die Website hochladen und diese aus der Ferne ausführen, um die volle Kontrolle über die Webressource zu erlangen.

Entwickler von Plugins wird geraten, die Überprüfung des Dateityps (test_type) nicht zu deaktivieren, wenn sie wp_handle_upload verwenden. Bis ein Update veröffentlicht wird, sollten Nutzer das TI WooCommerce Wishlist Plugin sofort deaktivieren und von ihren Websites entfernen, um das Risiko eines Angriffs zu minimieren.

Diese Sicherheitslücke erinnert an die Bedeutung regelmäßiger Updates und Sicherheitsüberprüfungen von Plugins und Themes, die auf Websites eingesetzt werden. In der Vergangenheit gab es bereits ähnliche Vorfälle, bei denen Sicherheitslücken in beliebten Plugins ausgenutzt wurden, um Websites zu kompromittieren.

Die Entwicklergemeinschaft ist nun gefordert, schnell zu reagieren und die notwendigen Sicherheitsupdates bereitzustellen, um die betroffenen Websites zu schützen. Gleichzeitig sollten Website-Betreiber wachsam bleiben und sicherstellen, dass ihre Systeme stets auf dem neuesten Stand sind, um potenzielle Sicherheitsrisiken zu minimieren.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

29,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Mobvoi TicNote KI Digitales Diktiergerät, 64 GB Speicher, Notizrekorder mit Hülle, App-Steuerung, über 100 Sprachen, Transkribieren, Zusammenfassen mit AI Shadow,digitaler Audiorekorder Sprachrekorder

169,99 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

PLAUD Note KI Digitales Diktiergerät mit Hülle - 64 GB Aufnahmegerät mit KI-Technologie zum Transkribieren und Zusammenfassen, One-Touch-Aufnahme, Rauschunterdrückung, Unterstützt 112 Sprachen

169,90 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

KI-Sprachrekorder, Plaud NotePin Sprachrekorder, App-Steuerung, KI-Notizgerät, KI-Transkription & Zusammenfassung, 112 Sprachen, 64GB Speicher, Audiorekorder für Vorlesungen, Meetings, Kosmisches Grau

169,90 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

SOXOI KI Digitales Diktiergerät, 64GB Magnet Mini Aufnahmegerä mit ChatGPT 4o vom Transkribieren und Zusammenfassen für 102 Sprachen,One Touch Aufnahme, Voice Recorder Sprachrecorder (Schwarz)

75,99 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!