Es wurde bekannt, dass das Ultimate Members Plugin ein potenzielles Sicherheitsrisiko für WordPress-Seiten darstellt. Cyberkriminelle könnten mit geringem Aufwand die Administratorenrechte erlangen und somit die volle Kontrolle über die Webseite übernehmen. Das Plugin wird von über 100.000 WordPress-Seiten genutzt und dient der Verwaltung von Nutzerregistrierungen und Konten. Es ist dringend empfohlen, ein Sicherheitsupdate durchzuführen, um Schwachstellen zu vermeiden.
In der aktuellen Version 2.1.12 haben die Entwickler die drei als "kritisch" eingestuften Sicherheitslücken geschlossen. Wie aus einem Bericht von Wordfence hervorgeht, sind zwei der Schwachstellen mit dem höchstmöglichen CVSS 3.1 Score 10 von 10 eingestuft. CVE-Nummern wurden bislang noch nicht vergeben.
Attacken mit wenig Aufwand
Da das Plug-in bei der Nutzer-Registrierung übermittelte Daten nur unzureichend prüft, könnten sich Angreifer mit der bloßen Angabe von wp_capabilities[administrator] zum Website-Admin machen. Auch die anderen Lücken sind mit vergleichsweise wenig Aufwand ausnutzbar.
Die Sicherheitsforscher geben an, die Plug-in-Entwickler Ende Oktober kontaktiert zu haben. Die reparierte Version erschien nach rund einer Woche.
Kommentare