„`html
Zusammenfassung
Das WordPress-Plugin „Image Sizes on Demand“ weist eine Reflected Cross-Site Scripting (XSS)-Schwachstelle auf, die durch unzureichende Input-Sanitization und Output-Escaping in der PHP_SELF-Servervariable entstanden ist. Die Sicherheitslücke betrifft alle Versionen bis einschließlich 1.3 und ermöglicht es unauthentifizierten Angreifern, beliebige JavaScript-Code in Admin-Seiten einzuschleusen.
Betroffene Systeme
Folgende Systeme sind betroffen:
- WordPress-Installationen mit installiertem Plugin „Image Sizes on Demand“ Version 1.3 und älter
- Alle WordPress-Versionen, auf denen das vulnerable Plugin aktiv ist
- Besonders anfällig: WordPress-Seiten mit Administrator-Accounts
Technische Details
Die Schwachstelle basiert auf einer fehlerhaften Verarbeitung der PHP_SELF-Servervariable in der Plugin-Konfigurationsseite. Da die Eingabe nicht ordnungsgemäß bereinigt und die Ausgabe nicht korrekt escaped wird, können Angreifer XSS-Payloads einschleusen.
Der Angriffsablauf erfolgt wie folgt: Ein Angreifer erstellt einen manipulierten Link mit eingebettetem JavaScript-Code. Das Opfer (typischerweise ein Administrator) wird durch Social Engineering dazu bewogen, diesen Link anzuklicken. Der injizierte Code wird dann im Kontext des Administrators ausgeführt, da die Settings-Seite die Capability „manage_options“ erfordert.
Dies ermöglicht potenziell: Sessiton-Hijacking, Datendiebstahl, Malware-Installation oder Berechtigungsausweitung.
Empfohlene Massnahmen
- Sofortmassnahme: Plugin deaktivieren und deinstallieren bis Patch verfügbar ist
- Alternatives Plugin: Zu einem anderen, gepatchten Image-Optimization-Plugin wechseln
- Monitoring: Logs auf verdächtige Admin-Zugriffe und JavaScript-Einschleusung überprüfen
- Schulung: Administratoren auf verdächtige Links hinweisen
- Web Application Firewall: WAF-Regeln gegen XSS-Muster aktivieren
Bewertung
CVSS Score: 6.1 (Medium) – Angriffsvektor: Netzwerk, Authentifizierung nicht erforderlich, aber Benutzer-Interaktion notwendig. Der moderate Score reflektiert die Tatsache, dass Angreifer einen Admin manipulieren müssen und der Code nur im Admin-Kontext ausgeführt wird.
„`