Sicherheitslücke in WordPress-Plugin bedroht mehr als 300.000 Webseiten

WordPress hat sich in den vergangenen Jahren zu einem der beliebtesten Tools für die Erstellung von Webseiten entwickelt. Unzählige Plugins ermöglichen es, hochfunktionale Webseiten auch mit einem geringen Budget zu erstellen. Doch der Erfolg von WordPress hat auch Hacker aufmerksam gemacht, immerhin ergibt sich für sie mit steigender Anzahl an WordPress-Seiten auch ein stetig wachsendes Betätigungsfeld. Nutzer sollten also Warnungen vor Sicherheitslücken ernstnehmen, wenn sie nicht Opfer von kriminellen Machenschaften werden und ihre Webseiten einem Risiko aussetzen wollen.

Das gilt auch für eine aktuelle Warnung des japanischen CERT, die in der vergangenen Woche über dessen Portal für Sicherheitswarnungen (JVN) verbreitet wurde. Demnach wurde beim WordPress-Plugin Forminator eine kritische Sicherheitslücke entdeckt, die es Angreifern erlaubt, unbegrenzt Dateien, inklusive Malware, auf Seiten hochzuladen, die das Plugin nutzen. Außerdem könnten sie sich Zugriff auf sensible Daten auf dem Server verschaffen, die Webseite bearbeiten und eine Denial-of-Service-Situation hervorrufen.

In der Warnung der japanischen Sicherheitsbehörde werden drei Sicherheitslücken aufgelistet, die für die aktuellen Probleme verantwortlich sind:

  • CVE-2024-28890, die für eine unzureichende Validierung von Datei-Uploads verantwortlich ist und die Forminator 1.29.0 sowie frühere Versionen betrifft
  • CVE-2024-31077, ein SQL-Injection-Fehler, über den Angreifer sich mit Admin-Rechten ausstatten und beliebige SQL-Abfragen von der Datenbank der Webseite ausführen können. Betroffen sind Forminator 1.29.3 und frühere Versionen.
  • CVE-2024-31857, ein Cross-Site-Scripting (XSS)-Fehler, der es Angreifern erlaubt, beliebigen HTML- und Skriptcode im Browser eines Benutzers auszuführen, falls dieser auf einen speziellen Link geklickt hat. Betroffen sind Forminator 1.15.4 und ältere Versionen.

Webseitenbetreiber, die Forminator nutzen sind dringend dazu aufgerufen, das Plugin auf die Version 1.29.3 upzugraden, bei der alle drei Fehler behoben sind. Das entsprechende Sicherheitsupdate wurde bereits am 8. April veröffentlicht. Die statistischen Daten von WordPress zeigen, dass das Update mittlerweile über 180.000 Mal heruntergeladen wurde. Im Umkehrschluss bedeutet das jedoch auch, dass weiterhin über 300.000 Webseiten anfällig für die beschriebenen Angriffe sind. Das ist besonders fahrlässig angesichts der leichten Ausnutzbarkeit der Sicherheitslücken. Auch wenn bislang keine Fälle bekannt sind, in denen die Sicherheitslücken für Angriffe genutzt wurden, dürfte es nur eine Frage der Zeit sein, bis Kriminelle ihr Glück versuchen.

Über die 8com GmbH & Co. KG

Über die 8com GmbH & Co. KG

Das 8com Cyber Defense Center schützt die digitalen Infrastrukturen seiner Kunden effektiv vor Cyberangriffen. Dazu vereint 8com zahlreiche Managed Security Services wie Security Information and Event Management (SIEM), Endpoint Detection and Response (EDR) mit Incident Response und Vulnerability Management unter einem Dach. Verschiedene Penetrationstests und Security-Awareness-Leistungen runden das Angebot ab.

8com gehört zu den führenden Anbietern von Awareness-Leistungen und Informationssicherheit in Europa. Seit 18 Jahren ist das Ziel von 8com, Kunden bestmöglich vor Cyberangriffen zu schützen und gemeinsam ein ökonomisch sinnvolles, aber trotzdem hohes Informationssicherheitsniveau zu erzielen. Durch die einzigartige Kombination aus technischem Know-how und direkten Einblicken in die Arbeitsweisen von Cyberkriminellen können die Cyber-Security-Experten bei ihrer Arbeit auf fundierte Erfahrungswerte zurückgreifen.

Firmenkontakt und Herausgeber der Meldung:

8com GmbH & Co. KG
Europastraße 32
67433 Neustadt an der Weinstraße
Telefon: +49 (6321) 48446-0
Telefax: +49 (6321) 48446-29
http://www.8com.de

Ansprechpartner:
Felicitas Kraus
Pressereferentin
Telefon: +49 (30) 30308089-14
E-Mail: kraus@quadriga-communication.de
Julia Olmscheid
Head of Communications
Telefon: +49 6321 484460
E-Mail: redaktion@8com.de
Für die oben stehende Story ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.

counterpixel