Anzeige
Über einen schweren Fehler im Wordpress-Plugin Custom Contacts Form erhält ein Angreifer Adminrechte auf eine Webseite.
Über einen schweren Fehler im Wordpress-Plugin Custom Contacts Form erhält ein Angreifer Adminrechte auf eine Webseite. (Bild: Sucuri)

Wordpress: Defektes Plugin erlaubt Admin-Zugriff

Das Wordpress-Plugin Custom Contacts Form hat einen Fehler, der es Angreifern erlaubt, administrative Rechte über eine Webseite zu erhalten. Es gibt bereits einen Patch.

Anzeige

Ein kritischer Fehler im Wordpress-Plugin Custom Contacts Form ermöglicht es Angreifern, sich administrative Rechte zu der gesamten Wordpress-Seite eines Anwenders zu verschaffen. Inzwischen haben die Entwickler einen Patch für das Plugin bereitgestellt. Die Versionsnummer des reparierten Plugins lautet 5.1.0.4 und lässt sich von der Plugin-Webseite des Wordpress-Projekts herunterladen.

Der Fehler im Plugin erlaubt Angreifern den Zugriff auf die Datenbank einer Wordpress-Installation. Sie kann heruntergeladen, verändert und wieder hochgeladen werden. In der Datenbank ist auch die Benutzerverwaltung einer Wordpress-Installation gespeichert. Sie lässt sich von Angreifern manipulieren, die sich dann durch die veränderten Rechte einen vollständigen Zugriff auf die Wordpress-Installation verschaffen können. Über die kompromittierten Webseiten lässt sich auch Schadsoftware an Besucher verteilen und dieser Vorgang etwa über Sicherheitslücken in Browsern oder dem Flashplayer vereinfachen.

Schwierige Kontaktaufnahme

Die Firma Sucuri hatte die Schwachstelle entdeckt und den Entwicklern des Plugins sofort gemeldet. Nachdem sie mehrere Wochen lang keine Antwort erhielten, wandte sich Sucuri an das Security-Team von Wordpress, dem es dann gelang, die Plugin-Entwickler zu kontaktieren. Laut Sucuri wurde Custom Contacts Form mehr als 600.000-mal heruntergeladen und installiert.

Fehlerhafte Plugins in Wordpress bleiben ein großes Problem, allein schon wegen ihrer großen Zahl. Erst kürzlich hatte Sucuri einen Angriff auf Wordpress-Webseiten über das Plugin Mailpoet entdeckt. Ein Fehler in dem Plugin erlaubte ebenfalls die volle Kontrolle über eine Wordpress-Webseite.


eye home zur Startseite
Warpenstein 08. Aug 2014

Da steht man dann aber auf dem Punkt, dass man Plugins mit z.B. LUA schreiben muss und...

Kommentieren



Anzeige

  1. IT-Netzwerkadministrator (m/w)
    SYNLAB Holding Deutschland GmbH, Leverkusen
  2. Software Ingenieur (m/w)
    über JOB AG Technology Service GmbH, Stuttgart
  3. IT Specialist (Service Desk & IT Operations) (m/w)
    TUI Cruises GmbH, Hamburg
  4. Datenbank- und Business-Intelligence-Admini- stratoren (m/w)
    ARI Fleet Germany GmbH, Koblenz, Stuttgart oder Eschborn bei Frankfurt am Main

Detailsuche



Anzeige
Blu-ray-Angebote
  1. 3 Blu-rays für 20 EUR
    (u. a. Spaceballs, Anastasia, Bullitt, Over the top, Space Jam)
  2. TV-Serien Einstieg auf Blu-ray reduziert
    (u. a. Arrow, Hannibal, The Originals, Banshee, The Big Bang Theory, Silicon Valley)
  3. VORBESTELLBAR: Warcraft: The Beginning (+ Blu-ray)

Weitere Angebote


Folgen Sie uns
       


  1. Hyperloop

    HTT will seine Rohrpostzüge aus Marvel-Material bauen

  2. Smartwatches

    Pebble 2 und Pebble Time 2 mit Pulsmesser

  3. Kickstarter

    Pebble Core als GPS-Anhänger für Hacker und Sportler

  4. Virtual Reality

    Facebook kauft Two Big Ears für 360-Grad-Sound

  5. Wirtschaftsminister Olaf Lies

    Beirat der Bundesnetzagentur gegen exklusives Vectoring

  6. Smartphone-Betriebssystem

    Microsoft verliert stark gegenüber Google und Apple

  7. Onlinehandel

    Amazon startet eigenen Paketdienst in Berlin

  8. Pastejacking im Browser

    Codeausführung per Copy and Paste

  9. Manuela Schwesig

    Familienministerin will den Jugendschutz im Netz neu regeln

  10. Intels Compute Stick im Test

    Der mit dem Lüfter streamt (2)



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Traceroute: Wann ist ein Nerd ein Nerd?
Traceroute
Wann ist ein Nerd ein Nerd?

Formel E: Monaco-Feeling beim E-Prix in Berlin-Mitte
Formel E
Monaco-Feeling beim E-Prix in Berlin-Mitte
  1. Hewlett Packard Enterprise "IT wird beim Autorennen immer wichtiger"
  2. Roborace Roboterrennwagen fahren mit Nvidia-Computer
  3. Elektromobilität BMW und Nissan wollen in die Formel E

Moto G4 Plus im Hands On: Lenovos sonderbare Entscheidung
Moto G4 Plus im Hands On
Lenovos sonderbare Entscheidung
  1. Android-Smartphone Lenovos neues Moto G gibt es gleich zweimal
  2. Motorola Aktionspreise für aktuelle Moto-Smartphones

  1. Re: Scramjet?

    486dx4-160 | 01:09

  2. Re: Ahoj! Vernunft in Sicht!

    Nogul | 01:07

  3. Re: Verschandelung gibt's schon überall

    DrWatson | 01:02

  4. Telekomik

    bombinho | 00:54

  5. Re: Preisfrage

    pandarino | 00:23


  1. 19:01

  2. 18:03

  3. 17:17

  4. 17:03

  5. 16:58

  6. 14:57

  7. 14:31

  8. 13:45


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel