WordPress: Beliebtes Plugin "WP Fastest Cache" braucht dringend ein Update
Jetzt updaten: Das Cache-Plugin WP Fastest Cache wies Schwachstellen auf, die WordPress-Installationen unter bestimmten Voraussetzungen angreifbar machten.
(Bild: Alfa Photo/Shutterstock.com)
Das Plugin WP Fastest Cache zur Optimierung der Ladezeiten von WordPress-Websites bot Angriffsmöglichkeiten für Cross-Site-Scripting (XSS) und SQL Injection. Für die mehr als eine Million Nutzer des Cache-Plugins steht ein Update bereit: WP Fastest Cache 0.9.5 beseitigt die in allen früheren Versionen vorhandenen Sicherheitsprobleme.
Wer das Plugin noch nicht aktualisiert hat, sollte dies möglichst zügig nachholen. Die Entdecker der Schwachstellen stufen das Sicherheitsrisiko als "hoch" bis "kritisch" ein. Die abgesicherte Version ist seit vergangener Woche auf der Download-Site von WP Fastest Cache verfügbar.
Unbefugte Zugriffsmöglichkeiten
Ein Blogeintrag der Firma Jetpack nennt Details zu den beiden Schwachstellen, die seltsamerweise ein und dieselbe CVE-ID (CVE-2021-24869), jedoch unterschiedliche Beschreibungen und CVSS-Scores (7.7/"High" bzw. 9.6/"Critical") aufweisen.
Der Score 7.7 bezieht sich auf eine Möglichkeit der SQL-Injection, die allerdings nur unter bestimmten Voraussetzungen besteht: Der Angreifer muss als "normaler" Nutzer angemeldet sein und in der angegriffenen WP-Installation muss zugleich auch das Plugin "Classic Editor" installiert sein. Sind diese Voraussetzungen gegeben, ist das Abgreifen sensibler Daten wie etwa Nutzernamen in Kombination mit Passwort-Hashes denkbar.
Empfohlener redaktioneller Inhalt
Mit Ihrer Zustimmmung wird hier eine externe Umfrage (Opinary GmbH) geladen.
Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (Opinary GmbH) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.
Die mit 9.6 bewertete Angriffsmöglichkeit besteht auch ohne solche Einschränkungen, erfordert allerdings eine Nutzerinteraktion mit der Website: Im Zuge eines so genannten Cross-Site-Request-Forgery-Angriffs ist es möglich, beliebige Aktionen mit den Rechten des Admins auszuführen, der während des Angriffs angemeldet war. Zudem könnte der Angreifer dauerhaft schädlichen Code in die betreffende Website einschleusen, der später beispielsweise für "Stored XSS"-Angriffe verwendet werden kann.
(ovw)