Sicherheitslücke bei WordPress-Plugin: Newsletter

Sicherheitslücke WordPress Plugin Newsletter csv injection
Aktuell wurde eine Sicherheitslücke bei dem beliebten WordPress Plugin Newsletter gemeldet.
Was zu tun ist, Details zur Sicherheitslücke und ein paar Infos zum Plugin findet ihr regelmäßig in unserem Blog — für beliebte Plugins ab 100.000+ aktiven Nutzern.

Das WordPress Plugin: Newsletter By Stefano Lissa & The Newsletter Team

Mit diesem Plugin kann man ganz leicht integriert über WordPress Newsletter und Email-Marketing organisieren. Listen organisieren, Ergebnisse einsehen und ein Drag & Drop Composer zur Erstellung responsiver Newsletter – mit diesem Plugin lassen sich alle Essentials für erfolgreiche Email-Kampagnen umsetzen. Es ist gesetzeskonform mit EU-Richtlinien, bietet Spamschutz und bringt noch weitere Features mit, schaut bei Interesse einfach mal rein.
Das Plugin zählt laut WordPress.org aktuell über 300.000 aktive Nutzer.

 


Bekannt geworden am 03.08.2020:

Sicherheitslücke: Authenticated Reflected Cross-Site Scripting und Authenticated PHP Object Injection

Bis zur neuen Version hatte das Plugin diese Lücke über die „tnpc_render“ AJAX Aktion in der newsletter/emails.php. Dadurch konnte auf verschiedenen Wegen beliebiger JavaScript-Code aufgelöst werden. Daneben bestand auch noch das Risiko von PHP-Object-Injection durch User mit minimalen Privilegien (beispielsweise einfache Subscriber). So konnte im Zusammenspiel mit Bibliotheken und Plugins von Drittanbietern eine POP Chain realisiert werden, um unter anderem beliebigen Code auszuführen. 
Diese Sicherheitslücken können geschlossen werden, indem das Plug-In auf Version (6.8.2) aktualisiert wird.
Quellen: 
https://wpvulndb.com/vulnerabilities/10340
https://wpvulndb.com/vulnerabilities/10339
weitere Details (englisch):
https://www.wordfence.com/blog/2020/08/newsletter-plugin-vulnerabilities-affect-over-300000-sites/

 

 

Falls du über den HostPress SecurePlan verfügst, haben wir für dich bereits das neueste Sicherheitsupdate durchgeführt.

 


 

Kostenloser Speedtest CTA Box

Wie schnell ist deine WordPress Seite?

Teste jetzt kostenlos die Ladezeit deiner Webseite!

✔ Du bekommst das Testergebnis direkt per E-Mail.

 


Bekannt geworden am 12.07.2020:

Sicherheitslücke: Authenticated Stored Cross-Site Scripting

Innerhalb des Motto-Felds der Company Info ist diese XSS gefunden worden. Beim Erstellen eines neuen Newsletters mit einem leeren Template über das Header-Modul wird die XSS ausgeführt.
Solche Cross-Site Scripting-Lücken ermöglichen einem Angreifer im Allgemeinen, Benutzer-Sessions zu stehlen, Webseiten zu manipulieren, Phishing-Angriffe zu starten oder die Kontrolle des Benutzerbrowsers zu übernehmen. Die hier vorliegende Stored-Variante ist gefährlich, weil die schädlichen Daten dabei auf dem Server gespeichert werden und sie dadurch regelmäßig und automatisch bei Besucherinteraktion mit der Webseite ausgelöst werden kann – so lange bis es bemerkt und behoben wird. Authenticated bedeutet in diesem Kontext, dass sie nur durch einen Benutzer mit Benutzerkonto missbraucht werden kann. 
Diese Sicherheitslücke kann geschlossen werden, indem das Plug-In auf Version (6.7.7) aktualisiert wird.
Quelle: https://wpvulndb.com/vulnerabilities/10304

 

Falls du über den HostPress SecurePlan verfügst, haben wir für dich bereits das neueste Sicherheitsupdate durchgeführt.


Bekannt geworden am 16.03.2020:

Sicherheitslücke: CSV Injection

Die offenbarte CSV-Injection geschieht über das Subscription-Formular. Dort kann ein Angreifer Schadcode einfügen, der dann im CSV-Export enthalten ist und im weiteren Verlauf entsprechend auf betroffenen Systemen ausgeführt wird.
Diese Sicherheitslücke kann geschlossen werden, indem das Plug-In auf die neueste Version (6.5.4) aktualisiert wird.
Quelle: https://wpvulndb.com/vulnerabilities/10135
mehr Details (Englisch) unter: https://fortiguard.com/zeroday/FG-VD-20-045

 

Falls du über den HostPress SecurePlan verfügst, haben wir für dich bereits das neueste Sicherheitsupdate durchgeführt.


Inzwischen gibt es für das bedeutendste CMS der Welt –WordPress– über 10.000 frei verfügbare Themes sowie 50.000+ verfügbare Plugins. Dadurch ergibt sich jedoch auch entsprechend viel Angriffsfläche. Gut, dass die sehr große und lebendige Community ständig dazu beiträgt solche Sicherheitslücken aufzudecken, damit diese behoben werden können.