Sicherheitslücke in vielen WordPress-Plugins

Von Klaus Ahrens

Mehrere Anbieter von WordPress-Plugins haben jetzt mit Updates auf eine Sicherheitslücke reagiert, die erst nur im SEO-Plugin von Yoast erkannt wurde.

Es stellte sich aber heraus, dass noch weitere Plugins des besonders bei Bloggern beliebten Content Management Systems betroffen sind.

Die Cross-Site-Scripting (XSS)-Sicherheitslücke öffnet sich durch falschen Einsatz der Funktionen add_query_arg() and remove_query_arg().

Die missverständliche Beschreibung in der offiziellen WordPress-Dokumentation trug dazu bei, die Entwickler zu einer unkorrekten Annahme verleitete.

Anfällig für CSS über die Lücke  erwiesen sich unter anderem die Plug-ins Jetpack, All in One SEO, WP-Ecommerce, WP Touch und Gravity Forms.

Die unterschiedliche Nutzung der gefährlichen Funktionen lässt auch die potenzielle Gefährdung durch die Plug-ins verschieden hoch ausfallen -das muss nicht immer sehr hoch sein.

Zuerst wurde die Anfälligkeit in der letzten Woche bei Yoasts SEO-Plugin entdeckt. Yoast musste schon im März auf eine Cross-Site-Request-Forgery-Lücke (CSRF) in seinem Plugin reagieren, die SQL-Angriffe erlaubte.