„`html
Zusammenfassung
Die WordPress-Erweiterung „Powerkit – Supercharge your WordPress Site“ enthält eine SicherheitslĂĽcke vom Typ Stored Cross-Site Scripting (XSS). Die Schwachstelle ermöglicht authentifizierten Angreifern mit Contributor-Berechtigung oder höher, beliebige JavaScript-Code in Seiten einzuschleusen. Der injizierte Code wird bei jedem Seitenaufruf ausgefĂĽhrt. Das CVSS-Rating von 6.4 stuft dies als Medium-Schweregrad ein.
Betroffene Systeme
Betroffen sind alle Versionen des Powerkit-Plugins bis einschließlich Version 3.1.0. Die Sicherheitslücke existiert in mehreren WordPress-Installationen, die dieses Plugin aktiv nutzen. Besonders gefährdet sind Umgebungen mit mehreren Contributor-Konten oder aktiviertem Multi-Author-Publishing.
Technische Details
Die Vulnerability entsteht durch unzureichende Eingabevalidierung und Output-Encoding bei der Verarbeitung von Shortcode-Attributen. Angreifer können über manipulierte Shortcode-Parameter JavaScript-Payloads einbetten. Die fehlende Sanitization ermöglicht es, dass diese Skripte persistent in der Datenbank gespeichert werden und bei Seitenzugriff im Kontext des Zielbrowsers ausgeführt werden.
Typischerweise erfolgt der Exploit durch Shortcodes wie: [powerkit attribute="<script>...</script>"]
Empfohlene Massnahmen
Sofortmassnahmen: Deaktivieren Sie das Plugin umgehend, falls nicht dringend benötigt. Überprüfen Sie alle veröffentlichten Seiten auf verdächtige Shortcode-Attribute. Untersuchen Sie Revision-Historien auf unbefugte Änderungen.
Längerfristige Lösungen: Warten Sie auf ein Update des Entwicklers oder ersetzen Sie das Plugin durch eine sichere Alternative. Beschränken Sie Contributor-Berechtigungen auf notwendige Benutzer. Implementieren Sie Web Application Firewalls (WAF) zur Erkennung verdächtiger Shortcode-Muster.
Bewertung
CVSS v3.1: 6.4 (Medium)
Die Bewertung berücksichtigt die Notwendigkeit von Authentifizierung und spezifischen Berechtigungen. Das Risiko ist erheblich in Umgebungen mit vielen Editoren. Ein Patch ist derzeit nicht verfügbar (Stand: CVE-Veröffentlichung). Regelmäßige Überwachung auf Sicherheitsupdates ist erforderlich.
„`