„`html
Zusammenfassung
Die WordPress-Erweiterung „Powerkit – Supercharge your WordPress Site“ enthält eine kritische Sicherheitslücke vom Typ Stored Cross-Site Scripting (XSS). Die Schwachstelle existiert in allen Versionen bis einschließlich 3.1.0 und ermöglicht authentifizierten Benutzern mit Contributor-Rechten oder höher, beliebigen JavaScript-Code in WordPress-Seiten einzuschleusen. Der injizierte Schad-Code wird persistent gespeichert und führt zur Ausführung bei jedem Seitenaufruf.
Betroffene Systeme
Betroffen sind alle Installationen des Powerkit-Plugins für WordPress in den Versionen 3.1.0 und älter. Das Plugin wird auf zahlreichen WordPress-Websites zur Leistungsoptimierung und erweiterten Funktionalität eingesetzt. Besonders gefährdet sind Multipurpose-Websites mit mehreren Benutzern mit Editor- oder Contributor-Rollen.
Technische Details
Die Sicherheitslücke befindet sich in der Verarbeitung des „style“-Shortcode-Attributs. Das Plugin validiert und escaped Benutzereingaben unzureichend, bevor diese in die HTML-Ausgabe integriert werden. Authentifizierte Benutzer können über das style-Attribut Shortcodes manipulieren und inline-JavaScript einbetten, beispielsweise über Event-Handler wie onerror oder onload.
Der Angriff erfolgt über das Netzwerk und setzt voraus, dass der Angreifer Zugriff auf ein Benutzerkonto mit Contributor-Level oder Administrator-Rechten besitzt. Das injizierte Skript wird dauerhaft in der Datenbank gespeichert und führt zu Session-Hijacking, Cookie-Diebstahl oder Admin-Konten-Kompromittierung.
Empfohlene Massnahmen
Aktualisieren Sie das Powerkit-Plugin sofort auf eine patched Version, sobald diese verfügbar ist. Überprüfen Sie regelmäßig Benutzerkonten und deren Zugriffsrechte. Implementieren Sie Content Security Policy (CSP)-Header zur Mitigierung von XSS-Attacken. Prüfen Sie Shortcode-Inhalte auf verdächtige Scripts und reduzieren Sie die Anzahl der Benutzer mit höheren Rechten.
Bewertung
Mit einem CVSS-Score von 6.4 (Medium) stellt diese Lücke ein beachtliches Risiko dar. Die Kombination aus Stored XSS, persistenter Natur und potenzieller Weitergabe an alle Besucher macht ein zeitnahes Patchen notwendig. Das fehlende Patch erhöht die Dringlichkeit der manuellen Mitigation.
„`