WordPress: Fehler in SEO-Plug-in gefährdet über eine Million Websites
Yoast, Anbieter eines weitverbreiteten SEO-Plug-ins für das Content Management System WordPress, hat eine gefährliche Sicherheitslücke geschlossen. Ein Angreifer könnte die Lücke nutzen, um sich Zugang zur Datenbank einer Website zu verschaffen und Inhalte zu manipulieren oder gar Malware, Adware oder Spam-Links einzuschleusen.
Es handelt sich dabei um eine Cross-Site-Request-Forgery-Lücke (CSRF), die SQL-Attacken ermöglicht. Allerdings sei dafür einiges an Vorarbeit erforderlich. Ein autorisierter WordPress-Anwender müsse zunächst dazu verleitet werden, auf einen speziell präparierten Link zu klicken, damit ein Hacker den Fehler ausnutzen kann.
Ryan Dewhurst hatte die Schwachstelle am 10. März entdeckt und sie noch am selben Tag vertraulich an Yoast gemeldet. “Ein mögliches Angriffsszenario wäre, dass ein Angreifer einen eigenen Administrator zu einer WordPress-Seite hinzufügt, was es ihm ermöglichen würde, die gesamte Website zu kompromittieren”, schreibt der Forscher in einem Advisory.
Der nun veröffentlichte Patch, der Yoast auf die Version 1.7.4 aktualisiert, behebt die Schwachstelle. Der Computerworld zufolge ist auch die kommerzielle Fassung des SEO-Plug-ins betroffen. Für sie steht die fehlerbereinigte Version 1.5.3 bereit.
Laut der offiziellen WordPress-Statistik wurde das Yoast-Plug-in zur Suchmaschinenoptimierung schon über 16 Millionen Mal heruntergeladen. Die Zahl der aktiven und damit von der Anfälligkeit betroffenen Installationen beträgt laut WordPress mehr als eine Million.
Ende Februar hatte Marc-Alexandre Montpas vom Sicherheitsunternehmen Sucuri bereits auf eine “sehr gefährliche” Schwachstelle im Analytics-Plug-in Slimstat hingewiesen, die ebenfalls mehr als eine Million WordPress-Sites betraf. Sie ermöglichte es Angreifern ebenso, eine SQL-Injection-Attacke auszuführen. Mit Version 3.9.6 der WordPress-Erweiterung wurde die Schwachstelle beseitigt.
[mit Material von Stefan Beiersmann, ZDNet.de]
Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de