„`html
Zusammenfassung
Das WordPress-Plugin „Google+ Link Name“ (bis Version 1.0) enthält eine Stored Cross-Site Scripting (XSS)-Schwachstelle in der Shortcode-Funktion ‚gplusnamelink‘. Die Vulnerability ermöglicht authentifizierten Benutzern mit Contributor-Rechten oder höher, beliebigen JavaScript-Code in Seiten einzuschleusen, der bei jedem Seitenzugriff ausgeführt wird.
Betroffene Systeme
- WordPress-Installationen mit Google+ Link Name Plugin
- Betroffene Versionen: 1.0 und älter
- Anforderung: Plugin muss aktiviert sein
- Erforderliche Zugriffsstufe: Contributor-Level oder höher
Technische Details
Die Schwachstelle liegt in der Funktion gplusnamelink_generate(), die Shortcode-Attribute verarbeitet. Die User-supplied Parameter ‚id‘ und ’name‘ werden ohne ordnungsgemäße Sanitization und Escaping direkt in das HTML-Output concateniert.
Konkret fehlen die sicherheitsrelevanten WordPress-Funktionen:
esc_attr()– für HTML-Attributeesc_html()– für HTML-Content
Angreifer können mittels manipulierter Shortcodes wie [gplusnamelink id="test" name="<script>alert(1)</script>"] JavaScript-Payloads einbetten.
Empfohlene Massnahmen
- Sofort: Plugin deaktivieren und löschen, falls nicht essentiell
- Kurz: Wartete auf Plugin-Update mit Patch oder Sicherheitsupdate
- Prävention: Beschränkung von Contributor-Rechten auf vertrauenswürdige Benutzer
- Monitoring: Überprüfung veröffentlichter Seiten auf verdächtige Shortcodes
- WAF-Regeln: Implementierung von Content Security Policy (CSP)-Header
Bewertung
CVSS 6.4 (Medium): Die Vulnerability erfordert Authentifizierung und begrenzte Benutzerrechte. Das Risiko ist real, aber gegenüber unauthentifizierten Angriffen reduziert. Bei Multi-User-WordPress-Umgebungen jedoch kritisch zu bewerten, da kompromittierte Contributor-Accounts Schaden anrichten können.
„`