„`html
Zusammenfassung
Eine kritische Sicherheitslücke in dem WordPress-Plugin Bit Form (Versionen vor 3.2.0) ermöglicht es unauthentifizierten Angreifern, manipulierte SVG-Dateien hochzuladen. Diese enthalten JavaScript-Code, der beim Anzeigen der Datei ausgeführt wird und zu Stored Cross-Site Scripting (XSS) führt. Mit einem CVSS-Score von 7.5 wird die Vulnerabilität als High-Risk eingestuft.
Betroffene Systeme
Das WordPress-Plugin Bit Form in allen Versionen vor 3.2.0 ist betroffen. Die Sicherheitslücke existiert in der Signaturbildfunktion des Plugins. Alle WordPress-Installationen mit aktiviertem Bit Form Plugin stellen potenzielle Angriffsziele dar, unabhängig von den Benutzerrollen oder Authentifizierungsmechanismen.
Technische Details
Das Plugin validiert hochgeladene Signaturbilder unzureichend. Angreifer können SVG-Dateien (Scalable Vector Graphics) mit eingebettetem JavaScript hochladen, ohne sich authentifizieren zu müssen. SVG-Dateien ermöglichen die Einbettung von Script-Tags, die in einem Browser ausgeführt werden. Der fehlende Zugriffschutz und die mangelhafte Input-Validierung ermöglichen das Speichern dieser schädlichen Inhalte im Server.
Beim Abruf oder Anzeigen der hochgeladenen SVG-Datei wird das enthaltene JavaScript ausgeführt. Dies ermöglicht Session-Hijacking, Credential-Theft oder die Verteilung von Malware an alle Benutzer, die die manipulierte Signatur anzeigen.
Empfohlene Massnahmen
- Sofortiges Update: Aktualisieren Sie das Bit Form Plugin auf Version 3.2.0 oder höher
- Dateivalidierung: Implementieren Sie strenge MIME-Type-PrĂĽfungen und Dateiendungs-Whitelisten
- SVG-Sanitization: Nutzen Sie spezialisierte Bibliotheken zur SVG-Bereinigung
- Content-Security-Policy: Implementieren Sie CSP-Header zur XSS-Prävention
- Monitoring: Überprüfen Sie Datei-Upload-Verzeichnisse auf verdächtige SVG-Dateien
Bewertung
CVSS 7.5 (High): Die fehlende Authentifizierung kombiniert mit gespeichertem XSS stellt ein erhebliches Risiko dar. Attacken sind einfach durchzuführen und können Websites und Benutzer kompromittieren. Ein Patch ist bislang nicht verfügbar – ein zeitnahes Update auf Version 3.2.0 ist essentiell.
„`