WordPress-Plug-in AMP for WP gefährdet Websites
Es gibt eine neue Version von AMP for WP – Accelerated Mobile Pages. Darin haben die Entwickler eine Schwachstelle geschlossen.
![WordPress-Plug-in AMP for WP gefährdet Websites](https://heise.cloudimg.io/width/610/q85.png-lossy-85.webp-lossy-85.foil1/_www-heise-de_/imgs/18/2/5/4/2/0/5/0/27707-a305c729141e8302.jpeg)
(Bild: 27707)
Wer seine WordPress-Seite auch mit beschleunigten Mobilseiten (Accelerated Mobile Pages, AMP), über das Plug-in AMP for WP anbietet, sollte die Erweiterung auf den aktuellen Stand bringen. Aufgrund einer Schwachstelle könnten Angreifer unter bestimmten Voraussetzungen eigenen Code auf verwundbaren Websites platzieren.
Das Plug-in weist derzeit mehr als 100.000 aktive Installationen auf. In der aktuellen Version 0.9.97.20 haben die Entwickler die Lücke geschlossen, berichtet ein Sicherheitsforscher von WebARX in einem Beitrag.
Die Schwachstelle lag darin, dass AMP for WP die Rechte von Accounts in Bezug auf die Nutzung von Ajax Hooks nicht prüft. Über Ajax Hooks kann man in WordPress Funktionen direkt aufrufen. Aufgrund der fehlenden Prüfung konnte jeder bei einer Website registrierte Nutzer die Plug-in-Optionen verbiegen und Code auf einer Seite platzieren. Davon sind Websites bedroht, die eine Registrierung von Besuchern anbieten. (des)