Kritische Admin-Lücke in Wordpress-Plug-in Orbit Fox
Es gibt ein wichtiges Sicherheitsupdate für das Wordpress-Plug-in Orbit Fox.
(Bild: Tatiana Popova/Shutterstock.com)
Angreifer könnten mit dem Content Management System (CMS) Wordpress erstellte Websites attackieren, wenn das Plug-in Orbit Fox mit bestimmten Einstellungen zum Einsatz kommt. Stimmen die Voraussetzungen, könnten Angreifer im schlimmsten Fall Seiten als Admin übernehmen.
Der Plug-in-Website zufolge ist Orbit Fox auf 400.000 Websites aktiv installiert. Damit können Website-Betreiber beispielsweise Formulare mit Social-Media-Funktionen ausstatten.
Gefährliche Schwachstellen
Websites mit Orbit Fox sind nur verwundbar, wenn das Registrierungsformular aktiv ist und die Plug-ins Beaver Builder oder Elementor laufen. Ist das der Fall, könnten Angreifer mit präparierten Anfragen an dem Formular ansetzen und auf ein eigentlich abgeschottetes Feld zur Einstufung der Nutzerrechte ansetzen. Klappt das, stehen sie am Ende als Admin da, warnen Sicherheitsforscher von Wordfence in einem Beitrag.
Eine CVE-Nummer wurde für die Sicherheitslücke bislang nicht vergeben. Der Bedrohungsgrad gilt als "kritisch". Die zweite Schwachstelle ist mit "mittel" eingestuft. Hier könnten Angreifer eigenen Code in Beiträgen unterbringen (stored XSS).
Die Plug-in-Enwickler geben an, die Lücken in der Orbit-Fox-Version 2.10.3 geschlossen zu haben.
(des)
