„`html
Zusammenfassung
Die CVE-2024-6228 betrifft das WordPress-Plugin „Notifications for Forms & WordPress Actions“ in Versionen vor 2.6. Eine Local File Inclusion (LFI) Schwachstelle ermöglicht es authentifizierten Benutzern mit Subscriber-Rechten oder höher, beliebige lokale PHP-Dateien auf dem Server einzubinden und auszuführen. Der Schweregrad wird mit „High“ (CVSS 7.5) beweritet.
Betroffene Systeme
Betroffen sind WordPress-Installationen mit dem Plugin „Notifications for Forms & WordPress Actions“ in allen Versionen vor 2.6. Die Schwachstelle ist über das Netzwerk exploitbar und erfordert gültige Benutzeranmeldedaten auf Subscriber-Level oder höher.
Technische Details
Die Anfälligkeit resultiert aus unzureichender Input-Validierung bei der Konstruktion von Dateipfaden für serverseitige Dateioperationen. Das Plugin verarbeitet benutzersupplizierte Werte direkt, ohne diese zu sanitieren oder zu validieren, bevor sie in Dateieinschluss-Operationen verwendet werden.
Ein angreifer kann manipulierte Parameter übermitteln, um auf beliebige lokale Dateien im Dateisystem zuzugreifen. Durch die Einbindung von PHP-Dateien (z.B. aus dem wp-content-Verzeichnis oder anderen bekannten Pfaden) kann beliebiger PHP-Code ausgeführt werden, was zu Remote Code Execution (RCE) führt.
Die Schwachstelle nutzt die Tatsache aus, dass das Plugin keine Whitelist für einzubindende Dateien implementiert und keine Pfad-Traversal-Schutzmaßnahmen vorsieht.
Empfohlene Massnahmen
- Sofortiges Update des Plugins auf Version 2.6 oder höher durchführen
- Bei kritischen Systemen: Plugin deaktivieren und deinstallieren bis Update vorliegt
- Benutzerrechte überprüfen – unnötige Subscriber-Konten entfernen
- Web Application Firewall (WAF) konfigurieren zur Filterung verdächtiger Parameter
- Server-Logs analysieren auf verdächtige Dateizugriffe
Bewertung
Die Schwachstelle stellt ein erhebliches Sicherheitsrisiko dar. Das geringe Anforderungsniveau (Subscriber-Zugang) erhöht die Angriffswahrscheinlichkeit erheblich. Ein zeitnahes Update ist erforderlich.
„`