Alle Sicherheitslücken der anderen Monate findest du hier:
Alle WordPress-Sicherheitslücken – Februar 2021
Inhaltsverzeichnis:
- Warum bin ich eigentlich hier? Updaten ist wie Impfen.
- Übersicht: Sicherheitslücken bei beliebten Plugins
- Alle Sicherheitslücken im Februar – alphabetische Liste
Warum diese Zusammenfassung?
Mit Beiträgen wie diesem möchten wir uns daran beteiligen, die allgemeine Sicherheit der WordPress-Welt zu verbessern. Daher werden wir fortan eine monatliche Zusammenfassung aller auf wpvulndb.com veröffentlichten Sicherheitslücken erstellen, sodass sich jeder WordPress-Nutzer auf die Schnelle informieren kann. Tatsächlich werden für großangelegte Hackingkampagnen häufig alte Sicherheitslücken missbraucht… Update-Stau gehört in der WordPress-Realität leider zum Alltag.
Niemand riskiert gerne Inkompatibilitäten und nur wenige finden im Tagesgeschäft Zeit für ordnungsgemäße Pflege und Updates der Plugins. Da sich daran so einfach auch nichts ändern lässt, wäre es doch äußerst hilfreich, wenn zumindest die notwendigen Sicherheitsupdates vorgenommen würden. Diese machen im Allgemeinen übrigens bloß einen kleinen Anteil aller Updates aus.
Also:
- Zehn Minuten pro Monat diese Liste überfliegen
- betroffene Schwachstellen beheben
- langfristig auf der sicheren Seite sein! 💪🤓
Für Plugins und Themes ab 100.000+ aktiven Nutzern, veröffentlichen wir außerdem eigene aktuelle Blogbeiträge, um unsere Follower auf dem Laufenden zu halten.
Über die Risiken:
Da es für das bedeutendste CMS der Welt –WordPress– alleine auf wordpress.org bereits über 55.000 verschiedene Plugins zur Erweiterung und Optimierung der Funktionen gibt, ergibt sich daraus gleichzeitig eine große Angriffsfläche für Hacking- und Malwarekampagnen. Kritische Sicherheitslücken gefährden immer wieder die Sicherheit von Kundendaten, für welche man als Webseitenbetreiber eigentlich die Verantwortung trägt. Daneben stellen betroffene Seiten auch häufig eine Infektionsquelle für unbedarfte Besucher dar und sogar die administrative Kontrolle über eine Seite kann kurzfristig komplett verloren gehen. Sicherheitslücken in Plugins werden immer häufiger genutzt um darauf Malware-Kampagnen, also automatisierte Angriffswellen, aufzubauen und durchzuführen.
Wenn man hingegen gewisse Sicherheitsvorkehrungen trifft, oder bei einem Managed WordPress Hoster untergebracht ist, der solche Maßnahmen standardmäßig trifft und gleichzeitig seine Plugins auf den neuesten Stand hält, darf man hingegen von einer sehr hohen Sicherheit seiner Webpräsenz ausgehen. Halten wir fest:
Insgesamt stellen die in WordPress-Plugins auftretenden Sicherheitslücken die größte Gefahr für Webseiten, deren Besucher sowie Kundendaten dar. Und diese ist gerade dann besonders groß, wenn derartige Sicherheitslücken erst einmal veröffentlicht worden sind. Denn alle WordPress-Betreiber, die auch danach kein Update vornehmen, werden zur potentiellen Zielscheibe für Angreifer. Diese bedienen sich bloß entlang der publizierten Lücken und können darauf gezielte Malware-Kampagnen aufbauen. Und natürlich geht gerade von diesen infektiösen Wellen auch die größte Gefahr für den durchschnittlichen User aus – eine statistische Gegebenheit.
Neben den standardmäßigen Sicherheitsvorkehrungen bieten wir bei HostPress® speziell hierfür einen Update-Service als Dienstleistung an, unseren SecurePlan. Dabei nehmen unsere WordPress-Experten regelmäßige Sicherheitsupdates vor und prüfen deine Seite im Anschluss zusätzlich auf korrekte Funktionalität.
3. Alle Sicherheitslücken im Februar 2021 – alphabetisch sortiert
WordPress Plugins – diese 52 Meldungen zu 40 Plugins gingen ein:
- All In One WP Security & Firewall < 4.4.6 – Authenticated Cross-Site Scripting (XSS)
- Backup by Supsystic <= 2.3.9 – Authenticated Arbitrary File Download and Deletion
- Backup Guard < 1.6.0 – Authenticated Arbitrary File Upload
- Better Search < 2.5.3 – CSRF Nonce Bypass in Import/Export
- Contact Form 7 Style <= 3.1.9 – Cross-Site Request Forgery to Stored Cross-Site Scripting
- Contact Form by Supsystic
- Custom Banners < 3.3 – CSRF Nonce Bypass in saveCustomFields
- Data Tables Generator by Supsystic
- Digital Publications by Supsystic
- eCommerce Product Catalog < 3.0.18 – CSRF Nonce Bypass
- Ivory Search < 4.5.11 – Authenticated Reflected Cross-Site Scripting (XSS)
- Like Button Rating < 2.6.32 – Unauthenticated Full-Read SSRF
- Map Block for Google Maps < 1.32 – Unauthorised Google API Key change
- Membership by Supsystic <= 1.5.0 – Authenticated SQL Injection
- MStore API < 3.2.0 – Authentication Bypass With Sign In With Apple
- Name Directory < 1.18 – Cross-Site Request Forgery (CSRF)
- Newsletter by Supsystic <= 1.5.6 – Authenticated SQL Injection
- NextGen Gallery
- NextGEN Gallery Pro < 3.1.11 – Reflected Cross-Site Scripting (XSS)
- Ninja Forms
- Paid Membership Pro < 2.5.3 – Unauthorised Order Information Disclosure
- Photo Gallery by 10web
- Popup Builder < 3.74 – Authenticated Reflected Cross-Site Scripting (XSS)
- Post SMTP Mailer/Email Log < 2.0.21 – CSRF Nonce Bypass
- Pricing Table by Supsystic
- Process Steps Template Designer < 1.3 – CSRF to Stored Cross-Site Scripting (XSS)
- QuadMenu < 2.0.7 – Unauthenticated RCE via compiler_save
- Responsive Menu
- Testimonial Rotator <= 3.0.3 – Authenticated Stored Cross-Site Scripting
- Theme Editor < 2.6 – Authenticated Arbitrary File Download
- Ultimate GDPR & CCPA Compliance Toolkit < 2.5 – Unauthenticated Plugin Settings Export and Import
- Ultimate Maps by Supsystic < 1.1.17 – Authenticated SQL Injections
- Under Construction, Coming Soon & Maintenance Mode
- Web-Stat < 1.4.1 – API Key Disclosure
- Welcart e-Commerce < 2.1.1 – Authenticated SQL Injection
- WP Amour < 1.5.7 – Authenticated Stored Cross-Site Scripting (XSS)
- WP Content Plus < 3.2 – CSRF Nonce Bypass
- WP Editor < 1.2.7 – Authenticated SQL injection
- YITH WooCommerce Gift Cards Premium < 3.3.1 – RCE via Arbitrary File Upload
- Zebra_Form Library <= 2.9.8 – Reflected Cross-Site Scripting (XSS)
WordPress Themes:
Mehr aktuelle Beiträge rund um WordPress & Co.: