„`html
Zusammenfassung
Das WordPress-Plugin Perfmatters ist in allen Versionen bis einschließlich 2.6.4 von einer Directory-Traversal-Schwachstelle betroffen. Die Sicherheitslücke ermöglicht es unauthentifizierten Angreifern, willkürliche Dateien vom Server auszulesen. Für eine erfolgreiche Ausnutzung müssen drei Bedingungen erfüllt sein: die lokale Google-Fonts-Funktion muss aktiviert, Pretty Permalinks müssen aktiv und RSS-Feed-Links im Plugin dürfen nicht deaktiviert sein.
Betroffene Systeme
Betroffen sind WordPress-Installationen mit dem Perfmatters Plugin in den Versionen:
- Alle Versionen bis einschlieĂźlich 2.6.4
Das Plugin wird hauptsächlich für Performance-Optimierungen eingesetzt.
Technische Details
Die Schwachstelle liegt in der unsicheren Verarbeitung des ’s‘-Parameters. Der Parameter wird nicht ausreichend validiert und ermöglicht Path-Traversal-Attacken mittels spezieller Sequenzen wie ‚../‘ oder URL-Encoding. Angreifer können so auf sensitive Dateien wie wp-config.php, .env-Dateien oder andere Konfigurationsdateien zugreifen.
Die Anfälligkeit ist an folgende Bedingungen gebunden:
- Local Google Fonts Feature aktiviert (standardmäßig deaktiviert)
- Pretty Permalinks aktiv
- RSS-Feed-Links im Plugin nicht deaktiviert
Empfohlene Massnahmen
SofortmaĂźnahmen:
- Perfmatters Plugin auf mindestens Version 2.6.5 aktualisieren, sobald verfĂĽgbar
- Temporär die Local Google Fonts-Funktion deaktivieren
- Plugin-Aktivität in Logs überwachen
- Web Application Firewall (WAF) einsetzen zur Blockierung von Path-Traversal-Mustern
Langfristig:
- Regelmäßige Plugin-Updates durchführen
- Plugin-Sicherheit durch Security-Scanner ĂĽberprĂĽfen
- Dateirechte auf Webserver restriktiv setzen
Bewertung
CVSS-Score: 7.5 (High)
Angriffsvektor: Network
Patches: Noch nicht verfĂĽgbar
Die Schwachstelle stellt ein erhebliches Risiko dar, da sie sensible Informationen offenlegt. Die standardmäßig deaktivierte Funktion reduziert die betroffene Nutzerbasis, erhöht aber für aktivierte Instanzen das Risiko erheblich.
„`