„`html
Zusammenfassung
Das WordPress-Plugin „Slider, Gallery, and Carousel by MetaSlider“ in allen Versionen bis einschlieĂźlich 3.111.0 weist eine Stored Cross-Site Scripting (XSS) Schwachstelle auf. Die Vulnerabilität ermöglicht authentifizierten Angreifern mit Author-Level-Zugriff die Einschleusung von beliebigem JavaScript-Code durch die ‚delay‘ Post Meta Setting.
Betroffene Systeme
Betroffen sind WordPress-Installationen mit dem MetaSlider-Plugin in den Versionen bis 3.111.0. Die Schwachstelle ist nicht auf bestimmte Betriebssysteme oder Server-Architekturen beschränkt, sondern affektiert alle Plattformen, auf denen das anfällige Plugin aktiv ist.
Technische Details
Die Vulnerabilität resultiert aus unzureichender Input-Validierung und Output-Escaping des ‚delay‘-Parameters. Das Plugin registriert den benutzerdefinierten Post-Typ ‚ml-slider‘ ohne entsprechende Capability-Restrictions. Dadurch können Autoren ĂĽber XML-RPC die Meta-Key ‚ml-slider_settings‘ manipulieren und beliebige Verzögerungswerte setzen.
Der kritische Fehler liegt in der fehlenden Sanitization beim Speichern und der unzureichenden Escaping beim Rendering des Delay-Wertes. Wenn Administratoren oder Editor diese Posts mit dem injizierten Payload aufrufen, wird das schadhafte JavaScript im Browser ausgeführt. Dies ermöglicht Session-Hijacking, Cookie-Diebstahl oder Phishing-Attacken.
Empfohlene Massnahmen
- Update durchfĂĽhren: Aktualisierung auf eine gepatchte Version wird dringend empfohlen, sobald diese verfĂĽgbar ist
- Sofortmassnahmen: Plugin temporär deaktivieren und deinstallieren bis Patch vorliegt
- Access-Control: XML-RPC einschränken und Author-Rollen überprüfen
- Monitoring: Logs auf verdächtige Custom-Field-Aktivitäten analysieren
- User-Audit: Privilegien reduzieren und unnötige Benutzerkonten löschen
Bewertung
CVSS-Score: 6.4 (Mittel)
Trotz mittlerer Bewertung ist diese XSS-Variante ernst zu nehmen, da die Einschleusung persistent erfolgt und alle Besucher betroffen sind. Besondere Risiken entstehen durch uneingeschränkten Author-Zugriff und fehlende Capability-Checks beim Post-Typ.
„`