Schwachstellen in WordPress-Plugins ermöglichen Kontoübernahmen und code execution
Schwachstellen in WordPress-Plugins, die weitverbreitete Tools betreffen, könnten es nicht authentifizierten Angreifern ermöglichen, Administratorkonten zu übernehmen, serverseitigen Code auszuführen, Dateien zu löschen oder Konfigurationsdaten offenzulegen. Die bug bounty-Zahlen von Wordfence für Juni 2026 umfassen 1.066 Einreichungen sowie technische Details zu schwerwiegenden Schwachstellen in UpdraftPlus, Everest Forms Pro, Burst Statistics, Kirki, Gravity SMTP und Avada Builder. Laut Wordfence wurden die Schwachstellen in Everest Forms Pro, Burst Statistics und Gravity SMTP aktiv von Angreifern ausgenutzt.
Das Programm verzeichnete 306 aktive Sicherheitsforscher und stufte 58 Meldungen als hohe Bedrohung ein, was einem Anstieg von 65,7 % gegenüber dem Vormonat entspricht. Weitere 45 wurden der Kategorie „häufig und gefährlich“ zugeordnet, während sieben Regeln für web application firewall veröffentlicht wurden. Eine web application firewall filtert potenziell schädliche requests, bevor sie eine Website erreichen. Laut Wordfence erhalten zahlende Premium-, Care- und Response-Nutzer die jeweils anwendbaren Regeln in Echtzeit, während kostenlose Nutzer sie nach 30 Tagen erhalten. Von allen Einreichungen wurden 185 als in scope akzeptiert, eine war out of scope, 578 wurden abgelehnt und 302 waren Duplikate.
Cross-site scripting, wodurch schädliche Inhalte im Browser eines Besuchers ausgeführt werden können, war mit 60 Einreichungen und Prämien in Höhe von $5,710 die am häufigsten akzeptierte Kategorie. Das Programm akzeptierte außerdem 21 Meldungen zu path traversal, bei denen manipulierte Dateipfade den vorgesehenen Ordner verlassen, sowie 20 Meldungen zu SQL injection, bei denen speziell präparierte Eingaben einen Datenbankbefehl verändern. Improper authentication brachte über vier Meldungen hinweg $11,304 ein, während improper verification of cryptographic signatures aus zwei Meldungen $10,725 einbrachte. Nicht authentifizierte Schwachstellen machten 89 akzeptierte Meldungen aus, verglichen mit 37, die ein Abonnentenkonto erforderten, 30, die Contributor-Zugriff erforderten, und 15, die Author-Zugriff erforderten. Wordfence vergab in diesem Monat $42,553, mit einem Durchschnitt von $230.02 für jede bestätigte Einreichung innerhalb des Geltungsbereichs.
Die höchste für Juni aufgeführte Prämie betrug $5,200 für einen authentication bypass in UpdraftPlus. Authentication bypass bedeutet, geschützte Funktionen zu erreichen, ohne eine legitime Identität nachzuweisen. Im technischen Abschnitt heißt es, dass die kostenlose Edition bis einschließlich Version 1.26.4 und die Premium-Edition bis einschließlich 2.26.5 betroffen waren, obwohl die Übersichtstabelle des Berichts den betroffenen Bereich der Premium-Version als unterhalb von 2.26.5 beschreibt. Wordfence führt die Schwachstelle auf eine unzureichende Validierung von UpdraftCentral-Nachrichten zurück: Die Signaturprüfung konnte umgangen werden, und eine fehlgeschlagene Entschlüsselung konnte einen vorhersehbaren, ausschließlich aus Nullen bestehenden encryption key erzeugen. Ein nicht authentifizierter Angreifer konnte dadurch remote procedure call-Befehle fälschen, also Anweisungen, die von einem anderen System an die Website gesendet werden, und sie mit den Berechtigungen des verbundenen Administrators ausführen. Eine mögliche Folge war das Hochladen und Aktivieren eines schädlichen Plugins, was zu remote code execution führte, also zur Ausführung von durch den Angreifer kontrolliertem Code auf dem Server.
Weitere hohe Prämien betrafen JetFormBuilder bis einschließlich Version 3.6.2, bei dem ein nicht authentifizierter Parameter privilege escalation ermöglichen konnte, sowie mehrere Newfold-Plugins mit einem Problem bei der bearer-token validation aufgrund eines leeren Geheimnisses. WPMU DEV Dashboard bis einschließlich Version 5.0.0 war Berichten zufolge anfällig für gefälschte Authentifizierungsdaten, die die Installation beliebiger Plugins und remote code execution ermöglichen konnten. WPForms Pro bis einschließlich Version 1.10.1.1 wies ein nicht authentifiziertes arbitrary file-write-Problem auf, das mit der Reihenfolge von Initialisierung und Abschluss eines chunked upload zusammenhing. Die entsprechenden Prämien betrugen $2,048, $1,950, $1,122 und $975.
Everest Forms Pro bis einschließlich Version 1.9.12 enthielt in seinem Calculation Addon eine aus der Ferne ausnutzbare PHP code-injection-Schwachstelle. Laut Wordfence fügte die Funktion process_filter() übermittelte Formularwerte in PHP-Code ein, bevor sie diesen Code an eval() übergab, ohne Zeichen zu maskieren, die in PHP eine besondere Bedeutung haben. Bei einem Formular, das Complex Calculation verwendete, konnte ein nicht authentifizierter Angreifer Code in Text-, E-Mail-, URL-, Auswahl- oder Optionsfelder eingeben und vom Server ausführen lassen. Wordfence beschrieb diese Schwachstelle als aktiv ausgenutzt.
Auch die Burst Statistics-Versionen 3.4.0 bis 3.4.1.1 wurden aktiv ausgenutzt. Die fehlerhafte Verarbeitung eines Rückgabewerts in der Funktion is_mainwp_authenticated() schwächte die Prüfung von application passwords, die über den Authorization header bereitgestellt wurden. Ein nicht authentifizierter Angreifer, der den Benutzernamen eines Administrators kannte, konnte ein zufälliges Basic Authentication-Passwort angeben und sich für den betreffenden request als dieser Administrator ausgeben. Bei den Kirki-Versionen 6.0.0 bis 6.0.6 akzeptierte die Verarbeitung zum Zurücksetzen von Passwörtern eine beliebige E-Mail-Adresse, wenn ein Benutzername übermittelt wurde. Dadurch konnte ein nicht authentifizierter Angreifer den Link zum Zurücksetzen des Passworts eines anderen Nutzers an eine vom Angreifer kontrollierte E-Mail-Adresse weiterleiten. Der Bericht ordnet diesem Kirki-Fund eine Prämie von $6,436 zu, was nicht mit der separaten Aussage übereinstimmt, dass $5,200 die höchste Einzelprämie im Juni gewesen sei.
Gravity SMTP bis einschließlich Version 2.1.4 legte über eine REST API, eine Online-Schnittstelle, über die Software Daten anfordert, ungefähr 365 KB an Systeminformationen offen. Die Berechtigungsprüfung genehmigte den Zugriff auf einen mock-data endpoint immer. Durch das Hinzufügen einer bestimmten settings query konnte ein nicht authentifizierter Besucher die Versionen von PHP, Webserver, Datenbank und WordPress, Dokumentpfade, Namen von Datenbanktabellen, installierte Plugins und Themes, Konfigurationsdetails sowie im Plugin gespeicherte API keys oder tokens abrufen. Laut Wordfence wurde dieses Problem der Offenlegung von Informationen aktiv von Angreifern ausgenutzt.
Avada Builder bis einschließlich Version 3.15.3 prüfte Dateipfade in seiner Funktion maybe_delete_files nicht ausreichend. Websites waren gefährdet, wenn sie über ein veröffentlichtes Avada-Formular verfügten, das so konfiguriert war, dass Einträge in der Datenbank gespeichert wurden. Ein nicht authentifizierter Angreifer konnte einen Wert für path traversal übermitteln und Felder zur Datenschutzbereinigung so manipulieren, dass das Plugin die ausgewählte Datei ohne Mitwirkung eines Administrators sofort löschte. Wordfence wies darauf hin, dass das Löschen einer Datei wie wp-config.php zu remote code execution führen könnte. Der Bericht kennzeichnete außerdem eine supply-chain compromise mit backdoored ShapedPlugin Pro-Plugins, die über offizielle Kanäle verbreitet wurden, führte jedoch nur verschiedene betroffene Versionen und keinen genauen Versionsbereich auf.
Websitebetreiber sollten Plugin-Inventarisierung und Updates als routinemäßige Sicherheitsaufgaben behandeln, insbesondere wenn betroffene Versionen installiert sind oder eine Schwachstelle bereits ausgenutzt wird. Für Organisationen, die ihre Website mit besonderem Schwerpunkt auf Sicherheit verwalten lassen möchten, bietet AEU Hosting durchgehend abgesichertes, verwaltetes WordPress-Hosting an. Unabhängig vom Hosting-Modell sollten Administratoren die installierten Plugin-Versionen überprüfen, verfügbare Updates der Anbieter einspielen und unerwartete Administratorkonten, Plugin-Installationen oder Konfigurationsänderungen untersuchen.