Das SEO-Plugin All in One SEO ist auf aktuell mehr als drei Millionen Websites aktiv und von WPScan, welches mittlerweile zu Automattic oder besser gesagt Jetpack gehört, wurden zwei ernsthafte Sicherheitslücken entdeckt.
Bei der ersten Sicherheitslücke handelt es sich um eine SQL-Injection-Schwachstelle. Wenn diese ausgenutzt wird, können die Angreifer die Daten aus der Datenbank abgreifen, darunter Benutzernamen und gehashte Passwörter.
Das zweite Problem betrifft die Lücke, die durch den Bug rund um die Privilege Escalation (Rechteausweitung) entstanden ist. Dies kann Angreifern Zugriff auf geschützte REST API-Endpunkte gewähren, auf die sie sonst keinen Zugriff haben sollten.
Das kann es Benutzern mit wenig privilegierten Konten, etwa Abonnenten, ermöglichen, Remotecode auf den betroffenen Websites auszuführen. Mit der Möglichkeit der Remote-Code-Ausführung können die Angreifer dann, je nach Umfang der Lücke, aus der Ferne entweder die Installation oder den Webserver manipulieren.
Bei der ersten Sicherheitslücke sind folgende Plugin-Versionen betroffen: 4.0.0 bis einschließlich 4.1.5.2. Bei der zweiten Sicherheitslücke sind die Versionen von 4.1.3.1 bis einschließlich 4.1.5.2 betroffen.
Das Jetpack-Team hat am 01. Dezember 2021 diese Analyse an da die Plugin-Entwickler geschickt und am 08. Dezember gab es einen Patch bzw. Aktualisierung auf die Version 4.1.5.3. Mit dieser Version ist nach dem heutigen Kenntnisstand das Plugin All in One SEO sicher.
Da es sich bei den beiden Bugs um ernsthafte Sicherheitslücken handelt, wird allen Benutzern empfohlen, die betroffene Versionen im Einsatz haben, auf die aktuelle Version des WordPress-Plugins zu aktualisieren.
In der ausführlichen Beschreibung im Blog von Jetpack findest du weitere Informationen und die betroffenen Code-Stellen samt Erklärungen.
Image(s) licensed by Ingram Image/adpic.
Wir arbeiten seit 20 Jahren mit WordPress und bieten diverse Dienstleistungen rund um das System an. Kontaktiere uns für weitere Informationen oder für ein Angebot.
Deshalb sollte man sowenig Plugins wie möglich nutzen und nicht unzählige im System haben, die die Seite nicht nur lahmlegen,sondern auch Hacker und Angreifer einladen. Ich fahre mit Yoast und Rankmath ganz gut. Risiken sind aber nie ausgeschlossen.