WordPress (WPScan) Seite 10

Das WordPress-Plugin Custom Fields Account Registration For Woocommerce verhindert in Versionen vor 1.4 nicht, dass benutzerdefinierte Registrierungsfelder in den Meta-Key für Benutzerberechtigungen (user capabilities) schreiben. Dadurch können bei der Registrierung Berechtigungen manipuliert werden. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: das Plugin auf Version 1.4 oder neuer aktualisieren.

Das WordPress-Plugin MPG vor Version 4.1.8 bereinigt und maskiert einen Parameter nicht, bevor er in der Antwort zurückgespiegelt wird. Nicht authentifizierte Angreifer können darüber Reflected Cross-Site Scripting (XSS) durchführen. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: das Plugin auf Version 4.1.8 oder neuer aktualisieren.

Das WordPress-Plugin Download Manager vor Version 3.3.62 bindet sein temporäres Download-Token nicht an die anfragende Sitzung und lässt es nicht zeitnah verfallen. Das Token wird dadurch zu einem langlebigen, mehrfach nutzbaren und übertragbaren Bearer-Token, mit dem Downloads ohne die vorgesehene Zugriffsbindung abgerufen werden können. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: das Plugin auf Version 3.3.62 oder neuer aktualisieren.

Das WordPress-Plugin Falcon – WordPress Optimizations & Tweaks ist bis einschliesslich Version 2.10.0 für eine nicht authentifizierte Schwachstelle anfällig, die die Verfügbarkeit beeinträchtigt. Angreifer benötigen dafür keine Anmeldung. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: das Plugin auf eine Version nach 2.10.0 aktualisieren.

Das WordPress-Plugin rtMedia für WordPress, BuddyPress und bbPress erlaubt bis einschliesslich Version 4.7.10 einer angemeldeten Nutzerin oder einem angemeldeten Nutzer mit der niedrigen Berechtigungsstufe „Subscriber“ eine SQL-Injection. Damit lassen sich Datenbankabfragen des Plugins bereits mit minimalen Rechten manipulieren. CVSS-Basiswert: 8.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Eine EPSS-Angabe liegt in den Quelldaten nicht vor.

Das WordPress-Plugin BookingPress Appointment Booking Pro ruft vor Version 5.7.3 seinen REST-Permission-Callback nicht korrekt auf. Dadurch sind sämtliche Routen eines seiner API-Namensräume ohne Authentifizierung erreichbar. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: das Plugin auf Version 5.7.3 oder neuer aktualisieren.

Das WordPress-Plugin Easy Appointments ist über die Aktion ea_delete_multiple_connections für eine unautorisierte Änderung von Daten anfällig, da sowohl eine Berechtigungsprüfung als auch die Nonce-Verifikation fehlen. Dadurch können entfernte Angreifer mit niedrigen Rechten Daten verändern, ohne dazu berechtigt zu sein. CVSS-Basiswert: 8.1 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H. Ein EPSS-Wert liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Das WordPress-Plugin MDJM Event Management ist in allen Versionen bis einschliesslich 1.7.8.4 für eine Rechteausweitung (Privilege Escalation) anfällig. Ursache sind fehlende Berechtigungsprüfungen (capability checks) sowie eine fehlende Nonce-Verifizierung. CVSS-Basiswert: 8.8 (Hoch).

Das WordPress-Theme Manual - Documentation, Knowledge Base & Education bis einschliesslich Version 7.5.4 enthält eine Cross-Site-Scripting-Schwachstelle, die ohne vorherige Authentifizierung ausnutzbar ist. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine Version oberhalb 7.5.4.

Das WordPress-Theme Manual - Documentation, Knowledge Base & Education bis einschliesslich Version 7.5.4 weist eine fehlerhafte Zugriffskontrolle auf, die ohne vorherige Authentifizierung ausnutzbar ist. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine Version oberhalb 7.5.4.

Im WordPress-Plugin WPLMS (VibeThemes) fehlt eine Autorisierungsprüfung, wodurch Funktionalität zugänglich wird, die eigentlich durch Zugriffskontrolllisten (ACLs) beschränkt sein sollte. Betroffen sind WPLMS-Versionen bis einschliesslich 1.9.9.7. CVSS-Basiswert: 7.5 (Hoch).

Das WPLMS-Plugin für WordPress (VibeThemes) enthält bis einschliesslich Version 1.9.9.8 eine unzureichende Neutralisierung von Eingaben bei der Webseitengenerierung, die zu Reflected Cross-Site-Scripting führt. CVSS-Basiswert: 7.1 (Hoch).

Das WPLMS-Theme für WordPress ist in den Versionen 1.5.2 bis 1.8.4.1 über die AJAX-Aktion wp_ajax_import_data anfällig für eine Rechteausweitung. Authentifizierte Angreifer können dadurch andernfalls eingeschränkte Einstellungen ändern und potenziell ein neues, zugängliches Administratorkonto anlegen. CVSS-Basiswert: 8.8 (Hoch).

Das WordPress-Plugin Ultimate Auction Pro ist in allen Versionen bis einschliesslich 1.5.2 anfällig für SQL-Injection über den Parameter auction_id. Ursache ist unzureichendes Escaping des vom Nutzer übergebenen Parameters sowie fehlende Vorbereitung der bestehenden SQL-Abfrage. Nicht authentifizierte Angreifer können dadurch zusätzliche SQL-Abfragen in bestehende Abfragen einschleusen und sensible Informationen aus der Datenbank auslesen. CVSS-Basiswert: 7.5 (Hoch).

Das WordPress-Plugin Export and Import Users and Customers ist in allen Versionen bis einschliesslich 2.6.2 über die Funktion validate_file() für Server-Side Request Forgery anfällig. Authentifizierte Angreifer mit Administrator-Rechten oder höher können dadurch Webanfragen an beliebige interne Ziele auslösen, die vom Server selbst ausgehen. Dies ermöglicht das Abfragen und Verändern von Daten interner Dienste, die eigentlich nicht von aussen erreichbar sein sollten. CVSS-Basiswert: 7.6 (Hoch).

Das Plugin Export and Import Users and Customers für WordPress ist in allen Versionen bis einschliesslich 2.6.2 durch Deserialisierung nicht vertrauenswürdiger Eingaben über den Parameter „form_data“ anfällig für PHP Object Injection. Authentifizierte Angreifer mit Administratorrechten können dadurch ein PHP-Objekt einschleusen. Es ist keine POP-Chain in der verwundbaren Software selbst vorhanden, wodurch die Schwachstelle ohne ein zusätzliches Plugin oder Theme mit passender POP-Chain keine Auswirkung hat. Ist eine solche POP-Chain über ein weiteres installiertes Plugin oder Theme vorhanden, kann der Angreifer unter Umständen beliebige Dateien löschen, sensible Daten abrufen oder Code ausführen. CVSS-Basiswert: 7.2 (Hoch).

Das WordPress-Plugin Activity O Meter bereinigt und escaped bis Version 1.0 laut NVD einen Parameter nicht, bevor dieser auf der Seite ausgegeben wird. Dadurch entsteht eine reflektierte Cross-Site-Scripting-Schwachstelle, die sich laut NVD gegen hochprivilegierte Benutzer wie Administratoren einsetzen lässt. CVSS-Basiswert: 7.1 (Hoch).

Das Plugin The Ultimate WordPress Toolkit – WP Extended für WordPress ist in Version 3.0.11 anfällig für entfernte Codeausführung. Ursache ist eine fehlende Berechtigungsprüfung in der Funktion wpext_handle_snippet_update. Authentifizierte Angreifer mit Subscriber-Rechten oder höher können dadurch Code auf dem Server ausführen, sofern ein Administrator zuvor mindestens ein Code-Snippet angelegt hat. CVSS-Basiswert: 8.8 (Hoch).

Das WordPress-Plugin File Upload ist bis einschliesslich Version 4.24.13 über wfu_file_downloader.php für Path Traversal anfällig. Dadurch können nicht authentifizierte Angreifer Dateien ausserhalb des vorgesehenen Verzeichnisses auslesen. CVSS-Basiswert: 7.5 (Hoch).

Im WordPress-Plugin WPLMS von VibeThemes besteht bis einschliesslich Version 1.9.9 eine Schwachstelle durch fehlende Autorisierung, die den Zugriff auf nicht durch ACLs beschränkte Funktionalität erlaubt. Der CVSS-Basiswert liegt bei 8.8 (Hoch).

Im WordPress-Plugin WPLMS von VibeThemes besteht durch unzureichende Neutralisierung von Sonderzeichen in einem SQL-Befehl eine SQL-Injection-Schwachstelle. Betroffen sind Versionen bis vor 1.9.9.5.3. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine korrigierte Plugin-Version.

Im WordPress-Plugin WPLMS von VibeThemes besteht eine Path-Traversal-Schwachstelle. Betroffen sind Versionen bis einschliesslich vor 1.9.9.5.2. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine nicht betroffene Plugin-Version.

In VibeThemes WPLMS besteht eine Path-Traversal-Schwachstelle. Betroffen ist WPLMS bis einschliesslich Version 1.9.9.5.2. CVSS-Basiswert: 8.5 (Hoch).

Eine Code-Injection-Schwachstelle (Improper Control of Generation of Code) im WordPress-Plugin WPLMS von VibeThemes erlaubt das Einschleusen von Code. Betroffen ist WPLMS bis Version 1.9.9.5. CVSS-Basiswert: 8.5 (Hoch).

Das WordPress-Plugin WPLMS (wplms_plugin) von VibeThemes enthält eine unzureichende Neutralisierung von Sonderzeichen bei SQL-Befehlen (SQL-Injection). Betroffen sind alle WPLMS-Versionen bis vor 1.9.9.5.3. CVSS-Basiswert: 7.6 (Hoch). Empfohlene Massnahme: Update auf WPLMS 1.9.9.5.3 oder neuer.

Das WordPress-Plugin WPGYM (Wordpress Gym Management System) ist bis einschliesslich Version 67.1.0 durch eine fehlende Berechtigungsprüfung in der Funktion MJ_gmgt_add_staff_member() für eine Rechteausweitung anfällig. Authentifizierte Angreifer mit mindestens Subscriber-Rechten können damit neue Benutzerkonten mit Administratorrolle anlegen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine Version oberhalb 67.1.0 aktualisieren, sobald verfügbar.

Das WordPress-Plugin WordPress GDPR ist bis einschliesslich Version 2.0.2 über die Parameter gdpr_firstname und gdpr_lastname anfällig für gespeichertes Cross-Site Scripting, da Eingaben unzureichend bereinigt und Ausgaben nicht ausreichend escaped werden. Nicht authentifizierte Angreifer können dadurch beliebige Webskripte in Seiten einschleusen, die beim Aufruf der betroffenen Seite ausgeführt werden. CVSS-Basiswert: 7.2 (Hoch).

Im WordPress-Plugin MDTF (wp-meta-data-filter-and-taxonomy-filter) von RealMag777 besteht eine unzureichende Kontrolle bei der Codegenerierung, die Code Injection ermöglicht. Betroffen sind Versionen bis einschliesslich 1.3.3.4. CVSS-Basiswert: 7.3 (Hoch).

Das WordPress-Plugin Visitors ist bis einschliesslich Version 1.0 anfällig für Stored Cross-Site Scripting über einen gefälschten HTTP-Header-Wert. Grund ist unzureichende Eingabebereinigung und fehlendes Output-Escaping. Nicht authentifizierte Angreifer können dadurch beliebige Web-Skripte einschleusen, die ausgeführt werden, sobald ein Nutzer die Seite nm_vistior aufruft. CVSS-Basiswert: 7.2 (Hoch).

Das WordPress-Plugin „MDTF – Meta Data and Taxonomies Filter“ ist bis einschliesslich Version 1.3.3.3 verwundbar für die Ausführung beliebiger Shortcodes. Ursache ist eine Aktion, die einen Wert vor dem Aufruf von do_shortcode nicht ausreichend validiert. Nicht authentifizierte Angreifer können dadurch laut NVD beliebige Shortcodes ausführen. CVSS-Basiswert: 7.3 (Hoch).

Das WordPress-Plugin File Upload ist bis einschliesslich Version 4.24.8 anfällig für gespeichertes Cross-Site-Scripting über hochgeladene SVG-Dateien, da Eingaben nicht ausreichend bereinigt und Ausgaben nicht escaped werden. Nicht authentifizierte Angreifer können dadurch beliebige Web-Skripte einschleusen, die beim Öffnen der SVG-Datei durch andere Nutzer ausgeführt werden. CVSS-Basiswert: 7.2 (Hoch).

WordPress Core ist bis Version 6.5.2 anfällig für Stored Cross-Site Scripting über Benutzeranzeigenamen im Avatar-Block, da die Ausgabe des Anzeigenamens nicht ausreichend escaped wird. Authentifizierte Angreifer mit Mitwirkenden-Rechten oder höher können dadurch beliebige Web-Skripte in Seiten einschleusen, die beim Aufruf einer präparierten Seite ausgeführt werden. Zusätzlich können unauthentifizierte Angreifer Skripte einschleusen, sofern der Kommentarblock vorhanden ist und den Avatar des Kommentarautors anzeigt. CVSS-Basiswert: 7.2 (Hoch).

Das WordPress-Plugin „Jobs for WordPress“ von BlueGlass weist laut Quelldaten eine unzureichende Neutralisierung von Eingaben bei der Webseiten-Generierung auf (Cross-Site Scripting). Betroffen sind Versionen bis einschliesslich 2.7.5. Die Schwachstelle erlaubt Reflected XSS. CVSS-Basiswert: 7.1 (Hoch).

In WordPress kann ein administrativer Benutzer beim Hochladen eines neuen Plugins über Plugins → Add New → Upload Plugin eine Datei einreichen, die keine ZIP-Datei ist. Werden FTP-Anmeldedaten für die Installation angefragt, bleibt die hochgeladene Datei trotz eigentlichem Verbot temporär in der Mediathek verfügbar. Ist zusätzlich die Konstante DISALLOW_FILE_EDIT auf true gesetzt und werden FTP-Anmeldedaten beim Hochladen benötigt, kann dies faktisch eine Remote-Code-Ausführung ermöglichen. Betroffen sind ausschliesslich Administrator-Konten auf Einzelinstallationen bzw. Super-Admin-Konten auf Multisite-Installationen; Installationen mit DISALLOW_FILE_MODS auf true sind nicht betroffen. Das Problem wurde in WordPress 6.4.3 sowie zahlreichen Backport-Versionen behoben. CVSS-Basiswert: 7.6 (Hoch). Empfohlene Massnahme: auf eine gepatchte Version aktualisieren oder DISALLOW_FILE_MODS auf true setzen.

Das WordPress-Plugin „WordPress Meta Data and Taxonomies Filter (MDTF)“ von realmag777 weist laut Quelldaten eine unzureichende Neutralisierung von Eingaben bei der Webseiten-Generierung auf (Cross-Site Scripting). Betroffen sind Versionen bis einschliesslich 1.3.3. Die Schwachstelle erlaubt Reflected XSS. CVSS-Basiswert: 7.1 (Hoch).

Im WordPress-Plugin Contact Forms von Cimatti Consulting besteht eine Schwachstelle durch unzureichende Neutralisierung von Eingaben bei der Erzeugung von Webseiten, die gespeichertes Cross-Site-Scripting ermöglicht. Betroffen sind Versionen bis einschliesslich 1.7.0. CVSS-Basiswert: 7.1 (Hoch).

Das WordPress-Plugin „WOLF – WordPress Posts Bulk Editor and Manager Professional“ von realmag777 weist laut Quelldaten eine unzureichende Neutralisierung von Eingaben bei der Webseiten-Generierung auf (Cross-Site Scripting). Betroffen sind Versionen bis einschliesslich 1.0.8. Die Schwachstelle erlaubt Reflected XSS. CVSS-Basiswert: 7.1 (Hoch).

Das WordPress-Plugin Users prüft bis einschliesslich Version 1.4 beim Aktualisieren seiner Einstellungen nicht auf Cross-Site Request Forgery, wodurch Angreifer einen angemeldeten Administrator per CSRF zu Änderungen verleiten können. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: das Plugin auf eine Version nach 1.4 aktualisieren.

Das WordPress-Plugin Import any XML or CSV File to WordPress akzeptiert vor Version 3.7.3 beliebige ZIP-Dateien und extrahiert sie automatisch in ein öffentlich erreichbares Verzeichnis, ohne den extrahierten Dateityp ausreichend zu prüfen. Privilegierte Benutzer wie Administratoren können dadurch eine ausführbare Datei hochladen und so Remote Code Execution erreichen. CVSS-Basiswert: 7.2 (Hoch).

Das WordPress-Plugin Export and Import Users and Customers ist bis einschliesslich Version 2.4.8 aufgrund unzureichender Dateityp-Validierung in der Funktion upload_import_file anfällig für das Hochladen beliebiger Dateien. Authentifizierte Angreifer mit Shop-Manager-Rechten oder höher können dadurch beliebige Dateien auf dem Server der betroffenen Website ablegen, was Remote-Code-Ausführung ermöglichen kann. CVSS-Basiswert: 7.2 (Hoch).

Das WordPress-Plugin „GEO my WordPress“ von Eyal Fitoussi ist bis einschliesslich Version 4.0.2 anfällig für SQL-Injection durch unzureichende Neutralisierung spezieller Elemente in SQL-Befehlen. Ein Angreifer kann darüber eigene SQL-Anweisungen einschleusen und ausführen. CVSS-Basiswert: 7.6 (Hoch). Die Schwachstelle ist in den Datenbanken von Patchstack, Wordfence und WPScan erfasst.

Die WordPress-Plugins Export any WordPress data to XML/CSV vor Version 1.4.0 und WP All Export Pro vor Version 1.8.6 prüfen Nonce-Token zu spät im Anfrageverlauf. Dadurch können Angreifer angemeldete Nutzer zu ungewollten Aktionen verleiten (CSRF), was bis zu einer Remote Code Execution führen kann. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf die korrigierten Plugin-Versionen.

Die WordPress-Plugins Export any WordPress data to XML/CSV vor Version 1.4.0 und WP All Export Pro vor Version 1.8.6 prüfen Nonce-Token nicht früh genug im Anfrageverlauf. Angreifer mit der Möglichkeit, Dateien hochzuladen, können angemeldete Nutzer zu ungewollten Aktionen verleiten, die zu PHAR-Deserialisierung und darüber möglicherweise zu Remotecodeausführung führen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf die fehlerbereinigten Plugin-Versionen einspielen.

Die Plugins Export any WordPress data to XML/CSV (vor 1.4.0) und WP All Export Pro (vor 1.8.6) für WordPress validieren und bereinigen den Parameter wp_query nicht. Dadurch können Angreifer beliebige Befehle auf dem entfernten Server ausführen. CVSS-Basiswert: 7.2 (Hoch).

Im WordPress-Plugin Simple HTML Sitemap von Ashish Ajani besteht laut Quelle in Versionen bis 2.1 eine nicht authentifizierte Reflected-Cross-Site-Scripting-Schwachstelle. CVSS-Basiswert: 7.1 (Hoch). Ein EPSS-Wert liegt nicht in den Quelldaten vor.

Das WordPress-Plugin „Zero Spam for WordPress“ von Highfivery LLC ist bis einschliesslich Version 5.4.4 anfällig für SQL-Injection durch unzureichende Neutralisierung spezieller Elemente in SQL-Befehlen. CVSS-Basiswert: 7.6 (Hoch). Die Schwachstelle ist in den Datenbanken von Patchstack, Wordfence und WPScan erfasst.

Das WordPress-Plugin iPanorama 360 Virtual Tour Builder ist bis einschliesslich Version 1.8.0 über den Shortcode des Plugins für SQL-Injection anfällig. Ursache sind unzureichendes Escaping des benutzergelieferten Parameters und eine fehlende Vorbereitung der bestehenden SQL-Abfrage. Authentifizierte Angreifer ab Contributor-Rechten können so sensible Datenbankinhalte auslesen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine Version nach 1.8.0 aktualisieren.

Im WordPress-Plugin WordPress Tables von Ian Sadovy besteht bis einschliesslich Version 1.3.9 eine nicht authentifizierte, reflektierte Cross-Site-Scripting-Schwachstelle. CVSS-Basiswert: 7.1 (Hoch).

Das WordPress-Plugin Social Login von Miled ist bis einschliesslich Version 3.0.4 anfällig für eine unauthentifizierte Reflected-Cross-Site- Scripting-Schwachstelle (XSS). CVSS-Basiswert: 7.1 (Hoch).

Im WordPress-Plugin WOLF – WordPress Posts Bulk Editor and Manager Professional von realmag777 ermöglicht eine Cross-Site-Request-Forgery-Schwachstelle (CSRF) in Versionen bis einschliesslich 1.0.6 das Einschleusen von gespeichertem Cross-Site-Scripting (Stored XSS). CVSS-Basiswert: 7.1 (Hoch).