Sicherheitslücke bei WordPress-Plugin: Ninja Forms

Sicherheitslücke WP Plugin Ninja Forms

Aktuell wurde uns eine Sicherheitslücke bei dem beliebten WordPress Plug-In Ninja-Forms gemeldet. Was zu tun ist, Details zur Sicherheitslücke und ein paar Infos zum Plugin findet ihr regelmäßig in unserem Blog — für beliebte Plugins ab 100.000+ aktiven Nutzern.

Das WordPress Plugin: Ninja Forms by Saturday Drive

Das Plug-In Ninja-Forms für WordPress lässt sich leicht in deine WordPress Seite integrieren und erlaubt dir z.B. einfache Kontakt- und  Buchungsformulare auf deiner Webseite einzubinden. Durch die einfache Bedienung per „drag and drop“ wird dir das Erstellen deiner Formulare mit vorgefertigten Layouts und Styles erleichtert. Ob als PDF, Microsoft Excel File oder per Google Sheets – eingehende Formulare lassen sich ganz einfach und automatisiert an die gewünschten Email-Empfänger versenden. Auch Formulare zu Zahlungen oder Spenden, einmalig oder als Dauerauftrag können ohne Weiteres erstellt werden, wobei Zahlungen von PayPal über Kreditkarte bis Stripe möglich sind.
Das Plugin zählt laut WordPress.org aktuell über 1.000.000 aktive Nutzer.

 


Bekannt geworden 29.04.2020:

Sicherheitslücke: CSRF to XSS

Durch unzureichende Validierung von HTTP Requests ist es einem Angreifer möglich, Kontrolle über die Session eines Benutzers zu erhalten, wenn dieser auf einen zuvor manipulierten Link klickt. Dadurch eröffnet sich letztlich die Gefahr einer Stored XSS-Attacke.
Diese Sicherheitslücke kann geschlossen werden, indem das Plug-In auf die neueste Version (3.4.24.2) aktualisiert wird.
Quelle: https://wpvulndb.com/vulnerabilities/10200

 

Falls du über den HostPress SecurePlan verfügst, haben wir die nötigen Sicherheitsupdates bereits durchgeführt.


Bekannt geworden 14.02.2020:

Sicherheitslücke: Multiple Authenticated Stored Cross-Site Scripting

Bei den Parametern recaptcha_site_key, recaptcha_secret_key, recaptcha_lang and date_format keys ergeben sich Authenticated Stored XSS – Sicherheitslücken. In Kombination mit einem Phishing-Angriff ließe sich so bspw. eine Administrator-Sitzung bzw. der entsprechende Cookie übernehmen – mit allen ensprechenden Gefahren bspw. für Erreichbarkeit der Seite, Sicherheit von Kunden- und Nutzerdaten und allen weiterführenden Angriffen.
Diese Sicherheitslücke kann geschlossen werden, indem das Plug-In auf die neueste Version (3.4.23) aktualisiert wird.
Quelle: https://wpvulndb.com/vulnerabilities/10070
mehr Details (Englisch) unter:
https://spider-security.co.uk/blog-cve-cve-2020-8594

 

Falls du über den HostPress SecurePlan verfügst, haben wir die nötigen Sicherheitsupdates bereits durchgeführt.


Kostenloser Speedtest CTA Box

Wie schnell ist deine WordPress Seite?

Teste jetzt kostenlos die Ladezeit deiner Webseite!

✔ Du bekommst das Testergebnis direkt per E-Mail.


Bekannt geworden 10.05.2019:

Sicherheitslücke: Unauthenticated Arbitrary File Upload

Wie nun bekannt wurde, weist das Ninja Forms Plugin der Version 3.0.22 oder älter eine Directory Traversal auf. Hierdurch ist es einem Angreifer möglich, auf Dateien zuzugreifen und über die includes/fields/upload.php (aka upload/submit page), name und tmp_name Parameter auch Code auszuführen.

Quelle: https://wpvulndb.com/vulnerabilities/9272


 

Bekannt geworden 04.12.2018:

Sicherheitslücke: Authenticated Open Redirect

Ein offener Redirect im Plugin ermöglicht es Remote Angreifern einen Benutzer über den lib/StepProcessing/step-processing.php (submissions download page) Redirect-Parameter umzuleiten. Die Sicherheitslücke betrifft die Plug-In Versionen 3.3.19 oder älter. Die Sicherheitslücke lässt sich schließen, indem das Plugin auf die neueste Version aktualisiert wird.


 

Bekannt geworden am 15.11.2018:

Sicherheitslücke: Cross-Site Scripting (XSS) in Admin Menus Submissions

Durch eine Sicherheitslücke im Plug-In gelingt es dem Angreifer, einen Schadcode in eine vermeintlich vertrauenswürdige Umgebung einzubetten. Die Lücke betrifft die Plug-In Versionen 3.3.17 oder älter.
Die Sicherheitslücke kann geschlossen werden, indem das Plug-In auf die neueste Version aktualisiert wird.
Quelle: https://wpvulndb.com/vulnerabilities/9149


 

Bekannt geworden am 28.08.2018:

Sicherheitslücke: Cross-Site Scripting (XSS) in Import Function

Durch eine Sicherheitslücke im Plug-In gelingt es dem Angreifer, einen Schadcode in eine vermeintlich vertrauenswürdige Umgebung einzubetten. Die Lücke betrifft die Plug-In Versionen 3.3.13 oder älter.
Die Sicherheitslücke kann geschlossen werden, indem das Plug-In auf die neueste Version aktualisiert wird.
Quelle: https://wpvulndb.com/vulnerabilities/9116

Sicherheitslücke: CSV Injection

Die zweite Sicherheitslücke ermöglicht es dem Angreifer schädliche Skripte in eine CSV Datei (Excel) einzubinden. Die Lücke betrifft die Plug-In Versionen 3.3.13 oder älter.
Die Sicherheitslücke kann geschlossen werden, indem das Plug-In auf die neueste Version aktualisiert wird.
Quelle: https://wpvulndb.com/vulnerabilities/9115


 

Inzwischen gibt es für das bedeutendste CMS der Welt –WordPress– über 10.000 frei verfügbare Themes sowie 50.000+ verfügbare Plugins. Dadurch ergibt sich jedoch auch entsprechend viel Angriffsfläche. Gut, dass die sehr große und lebendige Community ständig dazu beiträgt solche Sicherheitslücken aufzudecken, damit diese behoben werden können.

Mehr beliebte Beiträge zu WordPress:

better search replace - wordpress plugin
Better Search Replace – im Plugin Spotlight

WordPress Plugin-Spotlight: Better Search Replace   Inhaltsverzeichnis:  Better Search Replace -…


sicherheitslücken digest august
Alle Sicherheitslücken im August 2020

Alle veröffentlichten Sicherheitslücken – August 2020  …


wp cron und wordpress cronjobs
WP-Cron deaktivieren für mehr Performance – 1-Klick-Lösung und Tutorial

WordPress Cronjobs (per wp-cron.php) sind eine integrierte Funktion, mit der sich zeitgesteuerte…


wordpress hosting sicherheit
Alle Sicherheitslücken im Juli 2020

Alle veröffentlichten Sicherheitslücken – Juli 2020  …


HostPress GmbH WordPress Hosting, Webhosting, Managed Hosting hat 4,95 von 5 Sternen 192 Bewertungen auf ProvenExpert.com

HostPress® ist Partner von:

Managed WordPress Hosting aus Deutschland

Bekannt aus: