Sicherheitslücke bei WordPress-Plugin: Ninja Forms

Sicherheitslücke WP Plugin Ninja Forms

Aktuell wurde uns eine Sicherheitslücke bei dem beliebten WordPress Plug-In Ninja-Forms gemeldet. Was zu tun ist, Details zur Sicherheitslücke und ein paar Infos zum Plugin findet ihr regelmäßig in unserem Blog — für beliebte Plugins ab 100.000+ aktiven Nutzern.

Das WordPress Plugin: Ninja Forms by Saturday Drive

Das Plug-In Ninja-Forms für WordPress lässt sich leicht in deine WordPress Seite integrieren und erlaubt dir z.B. einfache Kontakt- und  Buchungsformulare auf deiner Webseite einzubinden. Durch die einfache Bedienung per „drag and drop“ wird dir das Erstellen deiner Formulare mit vorgefertigten Layouts und Styles erleichtert. Ob als PDF, Microsoft Excel File oder per Google Sheets – eingehende Formulare lassen sich ganz einfach und automatisiert an die gewünschten Email-Empfänger versenden. Auch Formulare zu Zahlungen oder Spenden, einmalig oder als Dauerauftrag können ohne Weiteres erstellt werden, wobei Zahlungen von PayPal über Kreditkarte bis Stripe möglich sind.
Das Plugin zählt laut WordPress.org aktuell über 1.000.000 aktive Nutzer.

 


Bekannt geworden 29.04.2020:

Sicherheitslücke: CSRF to XSS

Durch unzureichende Validierung von HTTP Requests ist es einem Angreifer möglich, Kontrolle über die Session eines Benutzers zu erhalten, wenn dieser auf einen zuvor manipulierten Link klickt. Dadurch eröffnet sich letztlich die Gefahr einer Stored XSS-Attacke.
Diese Sicherheitslücke kann geschlossen werden, indem das Plug-In auf die neueste Version (3.4.24.2) aktualisiert wird.
Quelle: https://wpvulndb.com/vulnerabilities/10200

 

Falls du über den HostPress SecurePlan verfügst, haben wir die nötigen Sicherheitsupdates bereits durchgeführt.


Bekannt geworden 14.02.2020:

Sicherheitslücke: Multiple Authenticated Stored Cross-Site Scripting

Bei den Parametern recaptcha_site_key, recaptcha_secret_key, recaptcha_lang and date_format keys ergeben sich Authenticated Stored XSS – Sicherheitslücken. In Kombination mit einem Phishing-Angriff ließe sich so bspw. eine Administrator-Sitzung bzw. der entsprechende Cookie übernehmen – mit allen ensprechenden Gefahren bspw. für Erreichbarkeit der Seite, Sicherheit von Kunden- und Nutzerdaten und allen weiterführenden Angriffen.
Diese Sicherheitslücke kann geschlossen werden, indem das Plug-In auf die neueste Version (3.4.23) aktualisiert wird.
Quelle: https://wpvulndb.com/vulnerabilities/10070
mehr Details (Englisch) unter:
https://spider-security.co.uk/blog-cve-cve-2020-8594

 

Falls du über den HostPress SecurePlan verfügst, haben wir die nötigen Sicherheitsupdates bereits durchgeführt.


Kostenloser Speedtest CTA Box

Wie schnell ist deine WordPress Seite?

Teste jetzt kostenlos die Ladezeit deiner Webseite!

✔ Du bekommst das Testergebnis direkt per E-Mail.


Bekannt geworden 10.05.2019:

Sicherheitslücke: Unauthenticated Arbitrary File Upload

Wie nun bekannt wurde, weist das Ninja Forms Plugin der Version 3.0.22 oder älter eine Directory Traversal auf. Hierdurch ist es einem Angreifer möglich, auf Dateien zuzugreifen und über die includes/fields/upload.php (aka upload/submit page), name und tmp_name Parameter auch Code auszuführen.

Quelle: https://wpvulndb.com/vulnerabilities/9272


 

Bekannt geworden 04.12.2018:

Sicherheitslücke: Authenticated Open Redirect

Ein offener Redirect im Plugin ermöglicht es Remote Angreifern einen Benutzer über den lib/StepProcessing/step-processing.php (submissions download page) Redirect-Parameter umzuleiten. Die Sicherheitslücke betrifft die Plug-In Versionen 3.3.19 oder älter. Die Sicherheitslücke lässt sich schließen, indem das Plugin auf die neueste Version aktualisiert wird.


 

Bekannt geworden am 15.11.2018:

Sicherheitslücke: Cross-Site Scripting (XSS) in Admin Menus Submissions

Durch eine Sicherheitslücke im Plug-In gelingt es dem Angreifer, einen Schadcode in eine vermeintlich vertrauenswürdige Umgebung einzubetten. Die Lücke betrifft die Plug-In Versionen 3.3.17 oder älter.
Die Sicherheitslücke kann geschlossen werden, indem das Plug-In auf die neueste Version aktualisiert wird.
Quelle: https://wpvulndb.com/vulnerabilities/9149


 

Bekannt geworden am 28.08.2018:

Sicherheitslücke: Cross-Site Scripting (XSS) in Import Function

Durch eine Sicherheitslücke im Plug-In gelingt es dem Angreifer, einen Schadcode in eine vermeintlich vertrauenswürdige Umgebung einzubetten. Die Lücke betrifft die Plug-In Versionen 3.3.13 oder älter.
Die Sicherheitslücke kann geschlossen werden, indem das Plug-In auf die neueste Version aktualisiert wird.
Quelle: https://wpvulndb.com/vulnerabilities/9116

Sicherheitslücke: CSV Injection

Die zweite Sicherheitslücke ermöglicht es dem Angreifer schädliche Skripte in eine CSV Datei (Excel) einzubinden. Die Lücke betrifft die Plug-In Versionen 3.3.13 oder älter.
Die Sicherheitslücke kann geschlossen werden, indem das Plug-In auf die neueste Version aktualisiert wird.
Quelle: https://wpvulndb.com/vulnerabilities/9115


 

Inzwischen gibt es für das bedeutendste CMS der Welt –WordPress– über 10.000 frei verfügbare Themes sowie 50.000+ verfügbare Plugins. Dadurch ergibt sich jedoch auch entsprechend viel Angriffsfläche. Gut, dass die sehr große und lebendige Community ständig dazu beiträgt solche Sicherheitslücken aufzudecken, damit diese behoben werden können.

Ähnliche Beiträge

wordpress passwort
So änderst du dein WordPress Passwort

Grundsätzlich gibt es verschiedene Szenarien, in denen es für dich sinnvoll ist, dein…


HostPress Pressefoto - Marcus Krämer, Michael Krämer
HostPress schafft Arbeitsplätze in der Region

Wollen den kundenfreundlichsten WordPress Hostingdienst Deutschlands aufbauen: Marcus und Michael…


save svg wordpress plugin xss
Sicherheitslücke im WordPress-Plugin: Safe SVG

Aktuell wurde uns eine Sicherheitslücke bei dem beliebten WordPress Plugin Safe SVG gemeldet. Was…


HostPress GmbH WordPress Hosting, Webhosting, Managed Hosting hat 4,95 von 5 Sternen 177 Bewertungen auf ProvenExpert.com

HostPress® ist Partner von:

Managed WordPress Hosting aus Deutschland

Bekannt aus: