„`html
Zusammenfassung
Die WordPress-Erweiterung „The Events Calendar for GeoDirectory“ in den Versionen bis einschließlich 2.3.28 weist eine kritische Privilege-Escalation-Schwachstelle auf. Authentifizierte Benutzer mit Subscriber-Status können ihre Berechtigungen auf Administrator-Ebene erhöhen. Der Schweregrad wird mit CVSS 8.8 bewertet und erfordert sofortige Aufmerksamkeit.
Betroffene Systeme
- The Events Calendar for GeoDirectory Plugin für WordPress
- Versionen: bis einschließlich 2.3.28
- Anforderung: WordPress-Installation mit aktiviertem Plugin
- Zugang: Authentifizierter Zugriff erforderlich (Subscriber-Level oder höher)
Technische Details
Die Schwachstelle liegt im AJAX-Handler ajax_ayi_action(). Dieser verarbeitet die POST-Parameter $_POST['type'] und $_POST['postid'] mittels strip_tags(esc_sql()) ohne implementierte Whitelist-Validierung.
Der fehlerhafte Datenfluss führt zur Funktion update_ayi_data(), welche wiederum update_user_meta($current_user->ID, $rsvp_args['type'], $posts) aufruft. Ein Angreifer kann durch die Übergabe von type=wp_capabilities und postid=administrator direkt die WordPress-Benutzermetadaten manipulieren.
Dies resultiert in der Speicherung von ['subscriber'=>true,'administrator'=>'administrator'] in den wp_capabilities-Metadaten des Benutzers. WordPress interpretiert die Array-Schlüssel als aktive Rollen, wodurch der Benutzer bei der nächsten Anfrage als Administrator erkannt wird.
Empfohlene Massnahmen
- Sofortige Deaktivierung: Plugin deaktivieren und deinstallieren bis Sicherheitsupdate verfügbar ist
- Benutzer-Audit: wp_capabilities in der Datenbank auf unbefugte Änderungen prüfen
- Zugriffskontrolle: Subscriber-Konten mit verdächtigem Verhalten überprüfen
- Backup-Überprüfung: Letzte Backups vor potenziellem Missbrauch kontrollieren
- Monitoring: Logs auf ungewöhnliche Berechtigungsänderungen analysieren
Bewertung
CVSS v3.1: 8.8 (High) | Angriffsvektor: Network | Authentifizierung: Erforderlich | Patch-Status: Nicht verfügbar
„`