„`html
Zusammenfassung
Das WordPress-Plugin „Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots“ enthält eine kritische SicherheitslĂĽcke (CVE-2026-16585), die es authentifizierten Administratoren ermöglicht, beliebige Dateien vom Server zu löschen. Die Anfälligkeit existiert in allen Versionen bis einschlieĂźlich 2.15.19 und kann zu Remote Code Execution (RCE) fĂĽhren, insbesondere beim Löschen kritischer Konfigurationsdateien wie wp-config.php.
Betroffene Systeme
Das Better Messages Plugin in allen Versionen bis Version 2.15.19 ist betroffen. Die Schwachstelle betrifft WordPress-Installationen, die dieses Plugin aktiv nutzen und Administrator-Konten mit erweiterten Berechtigungen haben.
Technische Details
Die Anfälligkeit liegt in der Funktion delete_sticker, die eine unzureichende Validierung der Dateipfade durchführt. Das Plugin implementiert einen Präfix-Check, um Löschvorgänge auf das Upload-Verzeichnis zu beschränken. Diese Schutzmaßnahme kann jedoch durch Path-Traversal-Sequenzen (../) umgangen werden.
Der kritische Fehler befindet sich in der normalize_sticker-Funktion, die lediglich esc_url_raw() anwendet. Diese Funktion entfernt jedoch keine Traversal-Sequenzen, sodass die Payload unverändert in WordPress-Optionen gespeichert bleibt. Ein Angreifer kann eine manipulierte URL konstruieren, die mit der legitimen Upload-Basis-URL beginnt, aber eingebettete ../-Sequenzen enthält, um auf übergeordnete Verzeichnisse zuzugreifen.
Empfohlene Massnahmen
- Plugin sofort deaktivieren und entfernen, bis ein Sicherheitspatch verfĂĽgbar ist
- Administratorenkonten überprüfen und unnötige Admin-Accounts entfernen
- Server-Logs auf verdächtige Löschvorgänge analysieren
- Regelmäßige Backups überprüfen und Integrität kritischer Dateien sicherstellen
- Alternative Chat-Plugins mit aktuellen Sicherheitspatches evaluieren
Bewertung
CVSS-Score: 7.2 (High)
Der hohe Schweregrad ist gerechtfertigt, da die Schwachstelle direkten Dateisystemzugriff mit Löschfunktionalität ermöglicht und unter bestimmten Bedingungen zu Systemkompromittierung führt. Der Angriffsvektor ist Netzwerk-basiert, erfordert jedoch administrative Authentifizierung.
„`