Logo von Security

Suche
Abonnieren

Tägliche Top-News bei WhatsApp, Facebook Messenger, Telegram & Insta

preisvergleich_weiss

Recherche in 1.685.335 Produkten

Dennis Schirrmacher 5

Alert WordPress 4.7.1 sagt acht Sicherheitslücken und 62 Bugs Ade

WordPress 4.7.1 sagt acht Sicherheitslücken und 62 Bugs Ade

Die Entwickler empfehlen, das Sicherheitsupdate zügig einzuspielen. Unter gewissen Voraussetzungen könnten Angreifer Schadcode ausführen.

Das Content Management System (CMS) WordPress ist verwundbar und Angreifer könnten im schlimmsten Fall ohne Authentifizierung aus der Ferne Schadcode ausführen. In der aktuellen Ausgabe 4.7.1 haben die Entwickler eigenen Angaben zufolge acht Schwachstellen geschlossen.

Anzeige

Wer das CMS nutzt, sollte die abgesicherte Version zügig einspielen, raten die Entwickler. Das Notfallteam des Bundesamt für Sicherheit in der Informationstechnik (BSI) CERT Bund stuft das von den Lücken ausgehende Risiko insgesamt als "hoch" ein.

Die kritischste Lücke schließt das WordPress-Team in der Webmail-Bibliothek PHPMailer, die beim CMS standardmäßig mit an Bord ist. Aufgrund einer fehlerhaften Eingabeüberprüfung könnten Angreifer eigenen Code auf Systeme schieben und ausführen. Diese Lücke betrifft unter anderem auch weitere Content-Management-Systeme und ist seit Ende vergangenen Jahres bekannt.

Die PHPMailer-Schwachstelle bedroht WordPress aber nicht direkt, da die E-Mail-Implementierung des CMS wp_mail nicht dafür anfällig sein soll. Erst wenn Plugins auf die verwundbare Webmail-Bibliothek zugreifen, könnte es mit älteren WordPress-Versionen gefährlich werden. Die nun intergrierte Ausgabe 5.2.21 von PHPMailer weist den Fehler nicht mehr auf.

Eine weitere Lücke klafft in der REST API und wer es drauf anlegt, soll Nutzerdaten von Autoren eines öffentlichen Post abziehen können. Bei den verbleibenden Schwachstellen handelt es sich um CSRF und XSS-Lücken. Setzen Angreifer an diesen an, sollen sie etwa Sicherheitsmechanismen umgehen können.

Außerdem geben die Entwickler an, 62 Bugs in WordPress 4.7.1 ausgemerzt zu haben. Im Changelog finden sich alle Änderungen. (des)

5 Kommentare

Themen:

Anzeige
  1. WordPress 4.7.2 steigert die Sicherheit

    WordPress 4.7.2 steigert die Sicherheit

    Der Bedrohungsgrad der Lücken ist weder kritisch noch hoch, WordPress-Nutzer sollten aus Sicherheitsgründen dennoch die aktuelle Version installieren.

  2. WordPress 4.9.2 schmeißt Flash raus – für die Sicherheit

    WordPress 4.9.2 schmeißt Flash raus – für die Sicherheit

    In WordPress klafft eine nicht als kritisch geltende Lücke, die Angreifer aus der Ferne ausnutzen könnten. Eine abgesicherte Version steht bereit.

  3. Jetzt patchen! SQL-Injection-Lücke bedroht WordPress

    Jetzt patchen! SQL-Lücke bedroht WordPress

    Die abgesicherte WordPress-Version 4.8.3 ist erschienen. Nutzer sollten diese zügig installieren, da Angreifer Webseiten via SQL-Injection-Attacke übernehmen könnten.

  4. Vier Sicherheitslücken in WordPress 4.9.1 gestopft

    Vier Sicherheitslücken in WordPress 4.9.1 gestopft

    Das Content Management System ist in einer abgesicherten Version erschienen. Neben den den geschlossenen Sicherheitslücken haben die Entwickler noch weitere Bugs beseitigt.

  1. WordPress: Erste Schritte für die eigene Website

    WordPress: Erste Schritte für die eigene Website

    WordPress ist das populärste Content-Management-System der Welt. Kein Wunder: Die Software ist einfach zu bedienen, kostenlos und flexibel erweiterbar. Zahlreiche Plug-ins und Themes machen das CMS zum Alleskönner.

  2. Die Neuerungen von Linux 4.14

    Linux-Kernel 4.14

    Die neue Kernel-Version bringt Speicherverschlüsselung, einen neuen Schlafmodus und einige Performance-Verbesserungen. Außerdem überwindet sie eine Grenze, die auf die ersten 64-Bit-x86-Prozessoren zurückgeht.

  3. Lücke in Mediaplayern: Wie Hacker gezielt manipulierte Untertitel verteilten

    Lücke in Mediaplayern: Wie Hacker gezielt manipulierte Untertitel verteilt haben

    Sicherheitsforscher beschreiben, wie Angriffe mit präparierten Untertiteln vonstattengingen. Zudem zeigen Sie, wie Hacker zur Verteilung Untertitelforen infiltrierten.

  1. Samsung 860 Evo/Pro: neue SSDs für Desktop-Rechner

    Samsung bringt neue SSDs für Desktop-Rechner

    Rund drei Jahre hatte Samsung die SSDs aus den 850er Serien im Programm, nun kommen die Nachfolger. heise online konnte die Pro und Evo-Modelle der 860er Serie bereits testen.

  2. DJI Mavic Air geleakt: 4K-Drohne mit 21 Minuten Flugzeit

    DJI Mavic Air geleakt: 4K-Drohne mit 21 Minuten Flugzeit

    Schon vor der offiziellen Präsentation sind Bilder und Daten der DJI Mavic Air im Netz gelandet. Bei dem neuen Quadrocopter handelt es sich um eine Mischung aus Mavic Pro und der preiswerten Minidrohne Spark.

  3. Snowden-App Haven: Einsatz kaum mit deutschem Recht vereinbar

    Snowden-App Haven: In Deutschland rechtlich kaum benutzbar

    Die Privacy-App Haven soll vor Spionage-Angriffen schützen. Der Gebrauch ist allerdings in Deutschland rechtlich problematisch - sogar Freiheitsstrafe droht.

  4. Test: Jaguar XF Sportbrake 25d

    Jaguar XF Sportbrake

    Zwei Jahre nach der Limousine ist der Jaguar XF endlich auch als Kombi zu haben. Formal darf der als gelungen gelten, doch Schönheit allein wird ihm in dieser Klasse keinen dauerhaften Erfolg bringen. Wie fährt sich der XF Sportbrake mit dem 240-PS-Diesel? Ein Test sollte das klären

Anzeige