„`html
Zusammenfassung
Das WordPress-Plugin „FacturaONE para WooCommerce con VeriFactu“ in Versionen vor 5.37 weist eine kritische AuthentifizierungslĂĽcke auf. Ein Request-Handler des Plugins implementiert keine ordnungsgemäße Authentifizierung und verlässt sich ausschlieĂźlich auf einen kryptographischen SchlĂĽssel, der im Auslieferungszustand leer ist. Dies ermöglicht es unauthentifizierten Angreifern, beliebige Dateien in webzugängliche Verzeichnisse zu schreiben und Remote Code Execution (RCE) zu erlangen.
Betroffene Systeme
Betroffen sind alle WordPress-Installationen mit aktiviertem Plugin „FacturaONE para WooCommerce con VeriFactu“ in den Versionen vor 5.37. Das Plugin wird primär im spanischsprachigen Raum fĂĽr E-Commerce- und Rechnungsverarbeitung in WooCommerce-Shops eingesetzt. Der Standard-Auslieferungszustand mit leerem KryptoschlĂĽssel stellt ein erhebliches Sicherheitsrisiko dar.
Technische Details
Die Verwundbarkeit liegt in der fehlenden Input-Validierung und Authentifizierung eines API-Endpoints. Der verwendete Kryptoschlüssel als Sicherheitsmechanismus ist standardmäßig nicht gesetzt oder leer konfiguriert. Dies ermöglicht es Angreifern, HTTP-Requests direkt an den betroffenen Handler zu senden, ohne sich authentifizieren zu müssen. Durch gezielte Requests können Dateien mit beliebigem Inhalt (PHP-Shells, Backdoors) in das wp-content oder andere webzugängliche Verzeichnisse geschrieben werden. Die anschließende Execution ist trivial durch den direkten Zugriff auf die hochgeladene Datei möglich.
Empfohlene Massnahmen
- Sofortiges Update: Plugin auf Version 5.37 oder höher aktualisieren
- Kryptoschlüssel konfigurieren: Falls Upgrade nicht sofort möglich, einen starken Kryptoschlüssel in der Plugin-Konfiguration setzen
- Web Application Firewall: WAF-Regeln zur Blockierung verdächtiger Requests implementieren
- Dateisystem-Berechtigungen: wp-content Schreibberechtigungen ĂĽberprĂĽfen und minimieren
- Loganalyse: Server-Logs auf verdächtige File-Upload-Aktivitäten prüfen
Bewertung
Mit CVSS 9.0 und dem Angriffsvektor „Network“ handelt es sich um eine kritische Schwachstelle mit Netzwerkzugriff ohne Authentifizierung. Die Auswirkungen sind maximal (Confidentiality, Integrity, Availability kompromittiert). Ein sofortiges Update ist zwingend erforderlich.
„`