„`html
Zusammenfassung
Die CVE-2016-20068 beschreibt eine kritische unauthentifizierte Blind-SQL-Injection-Sicherheitslücke im WordPress-Plugin „Booking Calendar Contact Form“ in Version 1.0.23. Die Schwachstelle ermöglicht es unauthentifizierten Angreifern, beliebige SQL-Befehle auszuführen und auf sensible Datenbankeinträge zuzugreifen. Mit einem CVSS-Score von 8.2 liegt das Risiko im hohen Bereich.
Betroffene Systeme
Betroffen ist das WordPress-Plugin „Booking Calendar Contact Form“ in Version 1.0.23 und potenziell älteren Versionen. Die Schwachstelle kann auf beliebigen WordPress-Installationen ausgenutzt werden, auf denen das Plugin aktiv installiert ist. Ein funktionsfähiger WordPress-Dienst und Zugang zum admin-ajax.php-Endpoint sind notwendig.
Technische Details
Die Sicherheitslücke befindet sich in der AJAX-Verarbeitung des Plugins. Angreifer können HTTP-Requests an den admin-ajax.php-Endpoint mit folgenden Parametern senden:
action=dex_bccf_calendar_ajaxeventid=[SQL-Injection-Payload]
Der „id“-Parameter wird nicht sanitiert oder validiert, sodass SQL-Befehle direkt in die Datenbankabfrage eingefügt werden können. Als Blind-SQL-Injection können Informationen durch zeitbasierte oder fehlerbasierte Techniken extrahiert werden, ohne dass die Ergebnisse direkt sichtbar sind.
Empfohlene Massnahmen
- Deaktivierung: Das Plugin sofort deaktivieren und deinstallieren
- Update: Falls verfügbar, ein aktualisiertes Plugin-Update einspielen
- WAF-Regeln: Web Application Firewall-Regeln zur Blockierung verdächtiger Anfragen einrichten
- Monitoring: Datenbankzugriffe und AJAX-Requests protokollieren und überwachen
- Backup: Regelmäßige Datenbank-Backups durchführen
Bewertung
Die Schwachstelle wird als kritisch eingestuft. Eine sofortige Mitigationsstrategie ist erforderlich, da kein Patch vorliegt und die Ausnutzung keine Authentifizierung erfordert. Der Angriffsvektor ist netzwerkbasiert und über das Internet erreichbar.
„`