„`html
Zusammenfassung
Das WordPress-Plugin „Gutenberg Essential Blocks“ in Versionen vor 6.4.0 weist eine kritische SicherheitslĂĽcke auf, die es Angreifern ermöglicht, auf nicht-öffentliche Custom Post Types zuzugreifen. Die Vulnerability hat einen CVSS-Score von 7.5 und wird als „High“ Severity eingestuft.
Betroffene Systeme
Betroffen sind alle WordPress-Installationen mit dem Plugin „Gutenberg Essential Blocks“ in den Versionen vor 6.4.0. Das Plugin wird häufig zur Erstellung von Inhalten mit dem Gutenberg-Editor verwendet.
Technische Details
Die Sicherheitslücke liegt in der Validierung von Post-Type-Parametern in einer öffentlichen REST-API-Route. Das Plugin überprüft nicht ordnungsgemäß, ob die angeforderten Custom Post Types als öffentlich registriert wurden. Dadurch können unauthentizierte Angreifer über die REST-API auf veröffentlichte Einträge von privaten Custom Post Types zugreifen.
Die fehlende Validierung ermöglicht es, direkt über HTTP-GET-Anfragen an die REST-Endpoints auf sensible Inhalte zuzugreifen, ohne sich authentifizieren zu müssen. Dies betrifft speziell die öffentlichen REST-Routen des Plugins.
Empfohlene Massnahmen
- Sofort Update durchführen: Aktualisieren Sie das Plugin auf Version 6.4.0 oder höher
- REST-API beschränken: Implementieren Sie Zugriffskontrolle auf REST-Endpoints
- Post Types überprüfen: Kontrollieren Sie, welche Custom Post Types öffentlich sind
- Monitoring: Überwachen Sie API-Zugriffe auf verdächtige Anfragen
Bewertung
Diese Vulnerability stellt ein erhebliches Risiko dar, da sie Informationspreisgabe ermöglicht. Der fehlende Patch erhöht die Kritikalität zusätzlich. Eine zeitnahe Aktualisierung ist zwingend erforderlich.
„`