Auf dieser Seite: [ausblenden]
Forscher entdeckten zwei Schwachstellen in einem bekannten Plugin für WordPress, genannt Advanced Access Manager. Das Plugin hat mehr als 100,000 Installationen. Eines der Sicherheitsprobleme ist schwerwiegend und kann zu einer Eskalation von Berechtigungen und zur Übernahme von Standorten führen, Also, wenn Ihre Site das Plugin verwendet, Aktualisieren Sie es sofort.
Das Wordfence Threat Intelligence-Team, bekannt für seine Arbeit zur Verbesserung der Sicherheit des CMS entdeckte die Schwachstellen. Das Team nahm Kontakt mit den Autoren des Plugins auf und erhielt umgehend eine Antwort. Als Ergebnis, Kurz nach der Veröffentlichung wurde ein Patch veröffentlicht. Wenn Ihre Site das Plugin verwendet, Sie sollten die Version installieren 6.6.2 um mögliche Cyberangriffe zu vermeiden.
Sicherheitsanfälligkeiten in Advanced Access Manager
Die schwerwiegendere Sicherheitsanfälligkeit führt zu einer authentifizierten Umgehung der Autorisierung und einer Eskalation der Berechtigungen, mit einer CVSS-Punktzahl von 7.5.
Advanced Access Manager ermöglicht eine differenzierte Zugriffssteuerung und kann einem einzelnen Benutzer mehrere Rollen zuweisen. Wenn die Einstellung "Unterstützung mehrerer Rollen" aktiv ist, Das Plugin ist anfällig für die Umgehung der authentifizierten Autorisierung. Die Eskalation von Berechtigungen ist ein weiteres Angriffsszenario.
Die zweite Sicherheitsanfälligkeit kann zur Offenlegung authentifizierter Informationen führen. Sein Schweregrad ist 4.3 (Mittel).
Mit Advanced Access Manager können sich Benutzer auch über die WordPress REST-API anmelden. Die REST-Endpunkte aam / v1 / authenticate und aam / v2 / authenticate des Plugins wurden so eingestellt, dass sie auf eine erfolgreiche Anmeldung mit einer json-codierten Kopie aller Benutzermetadaten reagieren. Dadurch wurden die Benutzerinformationen einem Angreifer oder einem Benutzer mit geringen Berechtigungen zugänglich gemacht. Zu den exponierten Elementen gehören das Hash-Passwort des Benutzers sowie Berechtigungen und Rollen. Alle benutzerdefinierten Metadaten, die möglicherweise von anderen Plugins hinzugefügt wurden, können ebenfalls angezeigt werden.
Wordfence empfiehlt, auf die neueste Version des Advanced Access Manager-Plugins zu aktualisieren, Ausführung 6.6.2.
Diesen Monat, Dieselben Forscher haben zwei Sicherheitslücken in einem anderen Plugin entdeckt - Quiz- und Umfragemeister (QSM).
Die Mängel, als kritisch eingestuft, kann zu Angriffen auf die Remotecodeausführung führen. Bei diesen Angriffen, Hacker laden beliebige Dateien hoch oder löschen Dateien wie wp-config.php von der Zielwebsite. Diese Aktionen können dazu führen, dass betroffene Seiten offline geschaltet oder die Kontrolle über sie übernommen werden.
Folgen Sie HowToHosting.Guide für weitere WordPress-Sicherheitsnachrichten.