Auf dieser Seite: [ausblenden]
Mitte September, Sicherheitsforscher bei Wordfence (Trotzig) deckte zwei schwerwiegende Sicherheitslücken in Post Grid auf. Post Grid ist ein WordPress-Plugin mit mehr als 60,000 Installationen, entwickelt von PickPlugins.
Während der Analyse, Das Team entdeckte fast identische Sicherheitslücken in Team Showcase, ein anderes Plugin vom selben Autor entwickelt. Team Showcase ist vorbei 6,000 Installationen.
Die gute Nachricht ist, dass die Plugin-Entwickler Patches nur wenige Stunden nach Aufdeckung der Fehler veröffentlicht haben.
Sicherheitslücken in Post Grid- und Team Showcase-Plugins
Mit dem ersten Plugin können Benutzer ihre Beiträge in einem Rasterlayout anzeigen, Während Team Showcase die Teammitglieder einer Organisation anzeigt. Beide Plugins ermöglichten den Import von benutzerdefinierten Layouts, mit nahezu identischen Funktionen. Obwohl Post Grid die anfällige Importfunktion nicht verwendet hat, es enthielt immer noch den fehlerhaften Code, es verletzlich machen.
Ein angemeldeter Angreifer kann beide Plugins mit minimalen Berechtigungen in Stored Cross-Site Scripting ausnutzen (XSS) Anschläge. Der Exploit kann durch Senden einer bestimmten AJAX-Anfrage erfolgen.
Betroffene Versionen sind Post Grid < 2.0.73 and Team Showcase < 1.22.16.
The other vulnerabilities affecting both plugins could trigger PHP Object injection. The same layout functions posed the risk of PHP Object injection via the same method used in the cross-site scripting attack.
This was possible thanks to the vulnerable functions, which unserialized the payload supplied in the source parameter. This flaw also required an attacker to have minimal privileges, such as a subscriber lever.
“jedoch, Websites, die ein Plugin oder Theme verwenden, mit dem nicht authentifizierte Besucher beliebige Shortcodes ausführen können, sind für nicht authentifizierte Angreifer anfällig,Sagt Wordfence.
So bleiben Sie geschützt?
Wenn Ihre WordPress-Site eines dieser Plugins verwendet, Sie sollten sofort auf die neuesten Versionen aktualisieren. Zur Zeit, Die neueste Post Grid-Version ist 2.0.73, Die neueste Version von Team Showcase ist 1.22.16.
Wenn Sie weitere technische Details zu den Fehlern benötigen, Sie können sich beziehen die ursprünglichen Ergebnisse.