Business Security, Schutzprogramme, Sicher & Anonym

Update für WordPress-Plugin

18.03.2020

Cyberkriminelle hätten über verwundbare Popup-Builder-Versionen unter anderem schädlichen JavaScript-Code ausführen können.

Derzeit kommt das Plugin "Popup Builder" in mehr als 100.000 Installationen des Content Management Systems WordPress zum Einsatz. Über eine kürzlich entdeckte Schwachstelle mit "High"-Einstufung in Popup Builder (CVE-2020-10196, CVSS-v3-Score 8.3) hätten entfernte, unauthentifizierte Angreifer schädlichen JavaScript-Code in Popups injizieren können, der bei jeder Anzeige eines solchen zur Ausführung gekommen wäre.

Die zweite Schwachstelle trägt die CVE-Kennung CVE-2020-10195 und besitzt die Risikoeinstufung "Medium". Um sie auszunutzen, müsste der Angreifer am CMS angemeldet sein; allerdings genügen bereits Zugriffsrechte als Abonnent.

Mit solchen Rechten könnte er laut Wordfence-Team allen anderen Nutzern mit Subscriber-Rechten diverse Rechte in Verbindung mit der Funktionalität des Plugins einräumen. So etwa die Möglichkeit, Kategorien und Newsletter anzulegen und zu verwalten.

Abgesicherte Version veröffentlicht

Betroffen von beiden Schwachstellen sind alle Plugin-Versionen bis einschließlich 3.63. Die Entwickler von Popup Builder haben die vollständig abgesicherte Version 3.64.1 veröffentlicht. Sie steht auf der Download-Site von Popup Builder bereit.

Weitere Informationen

Mobile Sicherheit

Meldung auf Heise Online

Sicher im Netz unterwegs

Zurück

Diesen Beitrag teilen

Weitere Meldungen zum Thema

Business Security

OMIGOD: Kritische Root-Lücke bedroht Azure-Kunden mit virtuellen Linux-PCs

Wer die Azure-Cloud-Umgebung für den Betrieb von virtuellen Linux-Maschinen nutzt, sollte die Installation mehrerer Sicherheitsupdates sicherstellen. Andernfalls könnten Angreifer unter bestimmten Voraussetzungen vier Lücken kombinieren, um mit Root-Rechten Schadcode auszuführen. Der Weg dahin ist zum Teil erschreckend simpel.

Sicher & Anonym

HP Omen: Software für Gaming-Rechner über Sicherheitslücke in Treiber angreifbar

In einem Treiber für die auf HP Omen-Gaming -Laptops und -PCs vorinstallierte, aber auch über den Microsoft Store beziehbare Software "HP OMEN Gaming Hub" für Windows 10 klaffte eine Sicherheitslücke mit "High"-Einstufung.

Business Security

Sicherheitspatch: WordPress-Entwickler raten zu zügigem Update

Angreifer könnten über drei Sicherheitslücken mit dem CMS WordPress erstellte Websites attackieren. Dagegen abgesicherte Versionen stehen zum Download bereit. In einer Meldung zur aktuellen WordPress-Ausgabe 5.8.1 stehen kaum Informationen zu den Schwachstellen.

Sicher & Anonym

Gefährliche Lücken in Virtualisierungsplattform Citrix Hypervisor geschlossen

Angreifer könnten aus mit Citrix Hypervisor erstellen virtuellen Maschinen (VM) ausbrechen und Host-Systeme kompromittiere. Nur eine der fünf Lücken (CVE-2021-28697) ist mit dem Bedrohungsgrad "hoch" eingestuft.

Diese Themen könnten Sie auch interessieren!