Aktuell wurde uns eine Sicherheitslücke bei dem beliebten WordPress Plugin GDPR Cookie Consent gemeldet.
Was zu tun ist, Details zur Sicherheitslücke und ein paar Infos zum Plugin findet ihr regelmäßig in unserem Blog — für beliebte Plugins ab 100.000+ aktiven Nutzern.

Das WordPress Plugin: GDPR Cookie Consent

GDPR Cookie Consent dient dazu, deine Webseite DSGVO-konform zu machen. Zunächst einmal dient das Plugin dazu, sich beim User die Zustimmung zur Cookie-Speicherung einzuholen. Dabei wird auch gewährleistet, dass ohne erteilte Zustimmung noch kein Cookie platziert wird – nicht ganz selbstverständlich im Dschungel der Cookie-Plugins. Details und Beschreibungen der Cookies können im Backend editiert und per Shortcode auch gleich in die Cookie-Richtlinien übertragen werden. Die Einbindung erfolgt entweder im Header oder im Footer und es können Farbe, Fonts, Styles oder auch das Verhalten bei Interaktion an den eigenen Stil angepasst werden. Auch ein Modul zur Abfrage und Auflistung aller aktiven Cookies auf deiner Seite ist darin enthalten. Natürlich gibt es noch weitere Features, für mehr Details einfach auf den Pluginnamen klicken.
Das Plugin zählt laut WordPress.org aktuell über 700.000 aktive Nutzer.

Bekannt geworden am 12.02.2020:

Sicherheitslücke: Improper Access Controls / Authenticated Stored XSS

Durch diese Sicherheitslücke kann ein Angreifer in einem Formular OS-Befehle einfügen, welche dann in der exportierten CSV-Datei enthalten sind. Dadurch werden im schlimmsten Fall schadhafte Befehle / Code ausgeführt. Wenn man auf seiner Seite einen CSV-Export verwendet, sollte man die Lücke zeitnah schließen.

Mangelnde Zugriffskontrolle im cli_policy_generator AJAX Call ermöglicht es einem authentifizierten Nutzer auch bei geringen Zugriffsrechten (bspw. einen Subscriber) dazu, ganze Seiten und Beiträge auf Status-Entwurf zu ändern und somit für andere Besucher unerreichbar zu machen. Durch Platzierung von Code im empfindlichen Content, ergibt sich sogar eine Stored XSS-Lücke, welche weitaus größere Risiken birgt. Mehr Details zur Lücke findet ihr sowohl im Ninja Technologies Network
Diese Sicherheitslücke kann geschlossen werden, indem das Plug-In auf die neueste Version (1.8.3) aktualisiert wird.
Quelle: https://wpvulndb.com/vulnerabilities/10069
mehr Details (Englisch) unter:
https://blog.nintechnet.com/wordpress-gdpr-cookie-consent-plugin-fixed-vulnerability/ 
https://www.wordfence.com/blog/2020/02/improper-access-controls-in-gdpr-cookie-consent-plugin/

Falls du über den HostPress SecurePlan verfügst, haben wir für dich bereits das neueste Sicherheitsupdate durchgeführt.