„`html
Zusammenfassung
Die WordPress-Erweiterung „LWS Optimize“ in Versionen vor 4.1.2 weist eine Stored Cross-Site-Scripting (XSS)-Anfälligkeit auf. Ãœber einen unauthentisierten Analytics-Endpunkt können Angreifer beliebige JavaScript-Code-Fragmente einschleusen, die persistent in der Datenbank gespeichert und beim Aufruf des Admin-Dashboards ausgeführt werden. Die Schwachstelle ermöglicht Angreifern, unter dem Administratorkonto Aktionen auszuführen.
Betroffene Systeme
Alle Installationen des LWS Optimize Plugins in den Versionen vor 4.1.2 sind betroffen. Die Anfälligkeit trifft WordPress-Seiten, die dieses Plugin aktiv nutzen. Betroffen sind sowohl Single-Site- als auch Multisite-Installationen ohne Einschränkung.
Technische Details
Der kritische Fehler liegt in der unzureichenden Eingabevalidierung und Output-Escaping eines unauthentisierten Analytics-Endpunktes. Angreifer können über HTTP-Requests Schadcode direkt in die Verarbeitungs-Pipeline einschleusen. Die Parameter werden ohne entsprechende Sanitization in die Datenbank geschrieben. Beim Aufruf des Admin-Dashboards erfolgt die Ausgabe ebenfalls ohne Context-spezifische Escaping-Funktionen (wp_esc_attr, esc_html, etc.), wodurch der injizierte Code im Browser des Administrators interpretiert wird.
Empfohlene Massnahmen
Sofortmaßnahmen: Aktualisierung des LWS Optimize Plugins auf Version 4.1.2 oder höher durchführen. Interim-Schutz: Falls kein Patch verfügbar ist, sollten Administratorkonten eng überwacht werden. Alternativ kann der unauthentisierte Analytics-Endpunkt auf Webserver-Ebene (via .htaccess oder Firewall-Regeln) blockiert werden. Monitoring: Admin-Audit-Logs auf verdächtige Aktivitäten prüfen.
Bewertung
Die Schwachstelle wird mit CVSS 6.1 (Medium) bewertet. Das Risiko ist signifikant, da keine Authentifizierung erforderlich ist und die Ausführung im Admin-Kontext stattfindet. Ein Patch ist derzeit nicht verfügbar – ein schnelles Update auf Version 4.1.2 ist erforderlich.
„`