Eine Sicherheitslücke in der aktuellen WordPress-Version 4.2 erlaubt es, Angreifern unter bestimmten Umständen die Webseite über die Kommentarfunktion zu übernehmen. Ebenfalls angreifbar sind die älteren Versionen. Über die Stored Cross-Site Scripting (Stored XSS) Lücke kann ein Angreifer Schadcode in einen Kommentar einbetten. Um den Angriff wirksam zu machen, muss der Code vom System gespeichert und wieder angezeigt werden. Sollte der Administrator den Kommentar außerhalb der Admin-Seiten einsehen, kann dessen Account übernommen werden.

Die Kommentar-Ansicht im Admin-Bereich filtert den Schadcode. Der Angreifer könnte über die öffentliche Seite die Session des Administrators übernehmen und damit die Website unter seine Kontrolle bringen.

WordPress stellt inzwischen die Version 4.2.1 bereit, die den Fehler beheben soll. Diese sollte möglichst schnell installiert werden. Das Update steht außerdem für diese Versionen bereit: 4.1.4, 4.0.3, 3.9.6, 3.8.8 und 3.7.8. Laut Github ist in den Versionen 4.2.1 und 4.1.4 zusätzlich eine Funktion vorhanden, die durch ein Datenbankupdate verdächtige Kommentare löscht.

(kt, hannover)

(siehe auch heise-News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE