Contact
QR code for the current URL

Story Box-ID: 1199074

8com GmbH & Co. KG Europastraße 32 67433 Neustadt an der Weinstraße, Germany http://www.8com.de
Contact Ms Felicitas Kraus +49 30 3030808914
Company logo of 8com GmbH & Co. KG

Sicherheitslücke in WordPress-Plugin bedroht mehr als 300.000 Webseiten

Das WordPress-Plugin Forminator, das auf über 500.000 Webseiten zu finden ist, hat eine Schwachstelle, die es Angreifern erlaubt, unbeschränkte Datei-Uploads auf den Server der Webseite durchzuführen.

(PresseBox) (Neustadt an der Weinstraße, )
WordPress hat sich in den vergangenen Jahren zu einem der beliebtesten Tools für die Erstellung von Webseiten entwickelt. Unzählige Plugins ermöglichen es, hochfunktionale Webseiten auch mit einem geringen Budget zu erstellen. Doch der Erfolg von WordPress hat auch Hacker aufmerksam gemacht, immerhin ergibt sich für sie mit steigender Anzahl an WordPress-Seiten auch ein stetig wachsendes Betätigungsfeld. Nutzer sollten also Warnungen vor Sicherheitslücken ernstnehmen, wenn sie nicht Opfer von kriminellen Machenschaften werden und ihre Webseiten einem Risiko aussetzen wollen.

Das gilt auch für eine aktuelle Warnung des japanischen CERT, die in der vergangenen Woche über dessen Portal für Sicherheitswarnungen (JVN) verbreitet wurde. Demnach wurde beim WordPress-Plugin Forminator eine kritische Sicherheitslücke entdeckt, die es Angreifern erlaubt, unbegrenzt Dateien, inklusive Malware, auf Seiten hochzuladen, die das Plugin nutzen. Außerdem könnten sie sich Zugriff auf sensible Daten auf dem Server verschaffen, die Webseite bearbeiten und eine Denial-of-Service-Situation hervorrufen.

In der Warnung der japanischen Sicherheitsbehörde werden drei Sicherheitslücken aufgelistet, die für die aktuellen Probleme verantwortlich sind:
  • CVE-2024-28890, die für eine unzureichende Validierung von Datei-Uploads verantwortlich ist und die Forminator 1.29.0 sowie frühere Versionen betrifft
  • CVE-2024-31077, ein SQL-Injection-Fehler, über den Angreifer sich mit Admin-Rechten ausstatten und beliebige SQL-Abfragen von der Datenbank der Webseite ausführen können. Betroffen sind Forminator 1.29.3 und frühere Versionen.
  • CVE-2024-31857, ein Cross-Site-Scripting (XSS)-Fehler, der es Angreifern erlaubt, beliebigen HTML- und Skriptcode im Browser eines Benutzers auszuführen, falls dieser auf einen speziellen Link geklickt hat. Betroffen sind Forminator 1.15.4 und ältere Versionen.

Webseitenbetreiber, die Forminator nutzen sind dringend dazu aufgerufen, das Plugin auf die Version 1.29.3 upzugraden, bei der alle drei Fehler behoben sind. Das entsprechende Sicherheitsupdate wurde bereits am 8. April veröffentlicht. Die statistischen Daten von WordPress zeigen, dass das Update mittlerweile über 180.000 Mal heruntergeladen wurde. Im Umkehrschluss bedeutet das jedoch auch, dass weiterhin über 300.000 Webseiten anfällig für die beschriebenen Angriffe sind. Das ist besonders fahrlässig angesichts der leichten Ausnutzbarkeit der Sicherheitslücken. Auch wenn bislang keine Fälle bekannt sind, in denen die Sicherheitslücken für Angriffe genutzt wurden, dürfte es nur eine Frage der Zeit sein, bis Kriminelle ihr Glück versuchen.

8com GmbH & Co. KG

Über die 8com GmbH & Co. KG

Das 8com Cyber Defense Center schützt die digitalen Infrastrukturen seiner Kunden effektiv vor Cyberangriffen. Dazu vereint 8com zahlreiche Managed Security Services wie Security Information and Event Management (SIEM), Endpoint Detection and Response (EDR) mit Incident Response und Vulnerability Management unter einem Dach. Verschiedene Penetrationstests und Security-Awareness-Leistungen runden das Angebot ab.

8com gehört zu den führenden Anbietern von Awareness-Leistungen und Informationssicherheit in Europa. Seit 18 Jahren ist das Ziel von 8com, Kunden bestmöglich vor Cyberangriffen zu schützen und gemeinsam ein ökonomisch sinnvolles, aber trotzdem hohes Informationssicherheitsniveau zu erzielen. Durch die einzigartige Kombination aus technischem Know-how und direkten Einblicken in die Arbeitsweisen von Cyberkriminellen können die Cyber-Security-Experten bei ihrer Arbeit auf fundierte Erfahrungswerte zurückgreifen.

The publisher indicated in each case (see company info by clicking on image/title or company info in the right-hand column) is solely responsible for the stories above, the event or job offer shown and for the image and audio material displayed. As a rule, the publisher is also the author of the texts and the attached image, audio and information material. The use of information published here is generally free of charge for personal information and editorial processing. Please clarify any copyright issues with the stated publisher before further use. In case of publication, please send a specimen copy to service@pressebox.de.
Important note:

Systematic data storage as well as the use of even parts of this database are only permitted with the written consent of unn | UNITED NEWS NETWORK GmbH.

unn | UNITED NEWS NETWORK GmbH 2002–2024, All rights reserved

The publisher indicated in each case (see company info by clicking on image/title or company info in the right-hand column) is solely responsible for the stories above, the event or job offer shown and for the image and audio material displayed. As a rule, the publisher is also the author of the texts and the attached image, audio and information material. The use of information published here is generally free of charge for personal information and editorial processing. Please clarify any copyright issues with the stated publisher before further use. In case of publication, please send a specimen copy to service@pressebox.de.