WordPress: Aktive Angriffe auf Async JavaScript und drei weitere Plugins

Über teils kritische Sicherheitslücken in vier Plugins für WordPress könnten Angreifer Installationen des CMS übernehmen. Es gibt Updates.

In Pocket speichern vorlesen Druckansicht 14 Kommentare lesen
WordPress: Aktive Angriffe auf Async JavaScript und drei weitere Plugins

(Bild: Shutterstock / hafizi)

Lesezeit: 2 Min.

Updates für die vier WordPress-Plugins Async JavaScript, Flexible Checkout Fields for WooCommerce, Modern Events Calendar Lite und 10Web Map Builder for Google Maps schließen Schwachstellen, die laut Sicherheitsforschern im Zuge einer Angriffskampagne aktiv ausgenutzt werden.

Das Team hinter Wordfence, einem Sicherheits-Plugin für das Content Management System WordPress, hat Details zu den behobenen Sicherheitsproblemen in einem Blogeintrag beschrieben. Demnach erlauben die Schwachstellen Cross-Site-Scripting-Angriffe, mittels derer die Kriminellen neue WordPress-Admin-Accounts hinzufügen und auf diesem Wege weitere schädliche Plugins mit Backdoor-Funktionen installieren könnten.

Das Wordfence-Team rät Admins dringend zur zeitnahen Aktualisierung der verwundbaren Plugins, um möglichen Angriffen einen Riegel vorzuschieben.

Die Plugins Flexible Checkout Fields for WooCommerce und 10Web Map Builder for Google Maps sind derzeit in jeweils mehr als 20.000 WordPress-Installationen aktiv. Den in ihnen geschlossenen Schwachstellen ist jeweils ein CVSS-v3-Score von 9.3 ("critical") zugeordnet. Betroffen sind laut Wordfence

Die Versionen 2.3.2 und höher beziehungsweise 1.0.64 und höher sind abgesichert. Sie können von den oben jeweils verlinkten Plugin-Sites heruntergeladen werden. Nähere Informationen zur Schwachstelle im erstgenannten Plugin finden Betroffene auch in einem Blogeintrag ihrer Entdecker von NinTechNet.

Das Plugin Async JavaScript läuft derzeit in über 100.0000 WordPress-Installationen, Modern Events Calendar Lite in immerhin 40.000+. Den Schwachstellen wurden "High"-Risikoeinstufungen (CVSS-v3-Score 7.6) zugeordnet. Bei den verwundbaren Versionen handelt es sich um

Auch hier sind abgesicherte Versionen (2.20.02.27 und höher beziehungsweise 5.1.7 und höher) unter den obigen Links verfügbar.

(ovw)