Arbitrary File Upload Schwachstelle in WordPress LMS Plugin Learnpress

Eine kritische Sicherheitslücke wurde in dem WordPress LMS Plugin LearnPress entdeckt, die es Angreifern ermöglicht, beliebige Dateien auf den Server hochzuladen. Die Schwachstelle CVE-2024-4397 betrifft alle Versionen des Plugins bis einschließlich Version 4.2.6.5 und wurde mit einem hohen CVSS-Score von 8.8 bewertet.

Die Sicherheitsforscherin JoanClarke2 entdeckte, dass das Plugin unzureichende Dateityp-Validierungen in der Funktion save_post_materials aufweist. Dies erlaubt es authentifizierten Nutzern mit Lehrberechtigungen (Instructor-Level und höher), potenziell schädliche Dateien auf den Webserver hochzuladen, was eine Ausführung von fremdem Code auf der betroffenen Webseite ermöglichen könnte.

Betroffene Betreiber von WordPress-Webseiten, die das LearnPress LMS Plugin verwenden, sollten dringend auf die gepatchte Version 4.2.6.6 aktualisieren, um sich vor möglichen Angriffen zu schützen. Diese Aktualisierung behebt die Sicherheitslücke und stellt sicher, dass keine unerwünschten Dateien mehr über das Plugin hochgeladen werden können.

Tags :

Related Posts

Sicherheitslücke in Spin-Anwendungen ermöglicht Sandbox Escape

Anfang Mai 2024 wurde eine kritische Sicherheitslücke im Serverless WebAssembly Framework Spin identifiziert, die zu einer potenziellen Netzwerk-Sandbox-Escape führen könnte. Von CVE-2024-32980 betroffen sind Versionen von Fermyon Spin vor 2.4.3.

Read More

VirtualBox Schwachstellen erlauben Übernahme des Systems

Oracle hat einen umfassenden Sicherheitshinweis für seine Virtualisierungsplattform VirtualBox herausgegeben. Dieser enthält wichtige Details zu mehreren Schwachstellen, die erhebliche Sicherheitsrisiken darstellen können. Betroffen sind verschiedene Versionen vor 7.0.16. Die Risikomatrix von Oracle Virtualization weist auf diverse kritische Sicherheitslücken hin, die es Angreifern mit niedrigen Privilegien ermöglichen, erheblichen Schaden anzurichten.

Read More

Icon basierte DLL-Injektionstechnik in Windows Explorer entdeckt

Sicherheitsforscher auf Github haben eine raffinierte Icon basierte Methode zur DLL-Injektion in den Windows Explorer aufgedeckt, die das Ändern von Symbolen in Verzeichnissen ausnutzt. Diese Technik, die ohne die herkömmlichen DLL-Injektions-APIs auskommt, könnte von Cyberkriminellen genutzt werden, um Malware zu verbreiten oder Sicherheitsmaßnahmen zu umgehen.

Read More