Im WP-Plugin Fastest Cache wurden Schwachstellen entdeckt. (Bild: Shutterstock/ monticello)
WordPress ist eines der erfolgreichsten Content-Management-Systeme, das von kleineren Blogs bis hin zu großen Onlineshops und Verlagen verwendet wird. Rund um das CMS hat sich mit der Zeit ein großes Ökosystem mit zahllosen Plugins entwickelt. Das Fastest-Cache-Plugin dient der Performance-Verbesserung. Es ist eine populäre Lösung, um sogenannte Traffic-Spitzen zu bedienen. Das sogenannte Cache-System erzeugt und speichert eine statische HTML-Datei, die bei hohem Besucher:innenaufkommen einer Website ausgespielt wird.
Unbefugter Datenbankzugriff
Jetzt haben Sicherheitsexpert:innen der Firma Jetpack zwei Lücken darin entdeckt: zum einen eine sogenannte Authenticated-SQL-Injection-Schwachstelle, zum anderen ein Cross-Site-Scripting-Problem. Über die SQL-Injection-Schwachstelle könnten Angreifende Zugriff auf in der Datenbank betroffener Websites gespeicherte sensible Informationen – wie gehashte Passwörter und Benutzernamen – erhalten. Ausgenutzt werden kann die Lücke, wenn ein weiteres Plugin namens Classic-Editor-Plugin ebenfalls auf der Website aktiv ist.
Admin-Zugang
Ein erfolgreicher Exploit der Stored-XSS-Schwachstelle würde Angreifenden Admin-Zugriff auf betroffenen Websites ermöglichen. Das heißt, Angreifer:innen könnten dann Aktionen ausführen, zu der nur angemeldete Administrator:innen eine Berechtigung haben.
Die Sicherheitsexpert:innen haben die Schwachstelle an den Autoren des Plugins gemeldet. In der kürzlich veröffentlichten Version 0.9.5 werden jetzt beide Sicherheitslücken behoben. Nutzer:innen von WP Fastest Cache empfehlen die Expert:innen im zugehörigen Blogpost dringend, auf die neueste Version des Plugins zu aktualisieren. Ergänzend raten sie zur Nutzung einer etablierten Sicherheitslösung. Details über die Schwachstellen sind auf dem Jetpack-Blog näher beschrieben.
Nicht das erste aufgedeckte SQL-Injection-Problem
Die beiden von Jetbrains aufgedeckten Schwachstellen sind offenbar nicht die ersten in dem Projekt gefundenen SQL-Injection-Vulnerabilities. Sowohl in Version 0.8.4.8 und möglicherweise früheren Versionen sowie in Version 0.8.7.4 wurden in der Vergangenheit derartige Schwachstellen entdeckt.
