Sicherheitslücke im DSGVO-Plugin von WordPress

Sicherheitslücke im DSGVO-Plugin von WordPressSeit die europäische Datenschutz-Grundverordnung (DSGVO) gilt, nutzen viele Internetseiten und Blogs, die auf Basis des CMS WordPress laufen, die WordPress-Erweiterung WP GDPR Compliance des Entwicklers Van Ons.

Dieses kostenlose Plugin soll es Seitenbetreibern mit WordPress erleichtern, die Notwendigkeiten der Datenschutz-Grundverordnung (DSGVO) ordnungsgemäß zu berücksichtigen.

Das DSGVO-Plugin ist offenbar recht beliebt: Das offizielle Plugin-Verzeichnis von WordPress zählt heute schon  über 100.000 aktive Installationen und sogar über eine halbe Million Downloads.

Eine Sicherheitslücke trübt die Freude

Vor ein paar Tagen wurde aber bekannt, dass eine Lücke in diesem Plugin Angreifern gestattet, die volle Kontrolle über die WordPress-Installation und sogar den gesamten Server zu übernehmen. Das Sicherheitsunternehmen Wordfence meldet dazu, dass bis einschließlich Version 1.4.2 des Plugins auch völlig Außenstehende beliebige Einstellungen in der WordPress-Installation machen können.

Bei einer solchen Attacke könnten Angreifer über die Sicherheitslücke erst einmal (wenn nötig) die Nutzerregistrierung einschalten, dann auf dem normalen Weg einen neuen Account anlegen und diesen letztlich noch zum Admin hochstufen.

Mit den Admin-Rechten könnte die Angreifer dann auch den gesamten Server übernehmen, zum Beispiel, indem sie eine vergiftete Erweiterung installieren, die eine Webshell enthält.

Aktuell wird die Schwachstelle schon aktiv ausgenutzt

Laut  Wordfence wird diese Schwachstelle schon aktiv von Online-Kriminellen für Angriffe missbraucht. In mehreren Fällen hat das Sicherheitsunternehmen festgestellt, dass bei den kompromittierten Installationen ein Nutzer mit dem Namen „t2trollherten“ angelegt war. Außerdem haben Angreifer in diesen Szenarien auch Webshells mit dem relativ unverdächtig klingenden Namen „wp-cache.php“ hinterlassen.

WP GDPR Compliance1.4.3 behebt den Fehler

Schon seit Donnerstag ist die abgesicherte Version 1.4.3 des Plugins zum Download verfügbar. Wer WP GDPR Compliance auf seiner WordPress-Site einsetzt, sollte unbedingt und zügig auf die aktuelle gehärtete Version updaten, denn WordPress-Installationen waren schon immer beliebte Ziele von Online-Angreifern.


wallpaper-1019588
Stellaris Director spricht über Zukunft, DLC und Sequel
wallpaper-1019588
Splatoon 3 Splatfest im November lässt euch Pokemon Starter Typen wählen
wallpaper-1019588
Manor Lords: kein Spiel ist auf so vielen Steam Wunschlisten, was steckt im Aufbauspiel?
wallpaper-1019588
Google Imagen Video setzt Text in HD-Videos um