Kritische Sicherheitslücken in WordPress Plugin Forminator entdeckt

In dem von WPMU DEV bereitgestellten WordPress Plugin Forminator wurden mehrere schwerwiegende Sicherheitslücken identifiziert, die von Hibiki Moriyama von STNet Incorporated gemeldet wurden. Die JPCERT/CC hat in Koordination mit dem Entwickler im Rahmen der Partnerschaft für frühzeitige Sicherheitswarnungen reagiert. Die Schwachstellen umfassen dabei

  • Unbeschränkter Upload von Dateien mit gefährlichem Typ (CWE-434)
  • SQL-Injection (CWE-89)
  • Cross-Site Scripting (CWE-79)

Die betroffenen Versionen von Forminator vor 1.29.3. Die Lücken weisen verschiedene Risikostufen auf, von denen die schwerste (CVE-2024-28890) mit einem kritischen CVSS V3 Basis-Score von 9.8 bewertet wird. Diese Schwachstelle könnte es einem Angreifer ermöglichen, Zugang zu sensiblen Dateiinhalten zu erhalten, die Darstellung der Website zu verändern und einen Denial-of-Service (DoS) Zustand herbeizuführen.

Anwender des Plugins werden dringend dazu aufgefordert, auf die neueste Version zu aktualisieren, um sich vor diesen Bedrohungen zu schützen.

Tags :

Related Posts

Ubuntu: hochkritische Sicherheitslücke in klibc sofort patchen

Mehrere Sicherheitslücken mit CVSS Score 9.8 / 10 wurden in der Ubuntu Softwarebibliothek klibc behoben, die in verschiedenen Versionen des Ubuntu-Betriebssystems verwendet wird. Die Schwachstellen erlauben Angreifern beliebigen Code auszuführen oder das betroffene System zum Absturz zu bringen, ohne dass dieser sich davor authentifizieren muss.

Read More

OpenJS warnt vor Social-Engineering-Angriffen auf Open-Source-Projekte

Die Open Source Security (OpenSSF) und die OpenJS Foundation schlagen Alarm wegen einer Zunahme von Social-Engineering-Versuchen, die darauf abzielen, Kontrolle über Open-Source-Projekte zu erlangen. Diese Entwicklung folgt auf den kürzlichen Vorfall mit den XZ Utils, bei dem ein ähnlicher Angriff gerade noch rechtzeitig vereitelt werden konnte.

Read More

Alte MS Office Versionen im Ziel von globaler Steganographie Angriffswelle

15. April 2024 Eine Untersuchung von Positive Technologies hat ergeben, dass die Cybercrime-Gruppe TA558 in einer breit angelegten Kampagne, genannt “SteganoAmor”, staatliche und private Sektoren auf der ganzen Welt ins Visier nimmt. Die Gruppe, die bisher vorwiegend in Lateinamerika aktiv war, hat ihre Aktivitäten ausgeweitet und verwendet dabei eine Vielzahl von Malware-Tools. Bemerkenswert ist die Nutzung von Steganografie - das Verstecken von Malware in Bilddateien - und legitim erscheinenden Servern für Command and Control (C2) Operationen sowie Phishing-Angriffe.

Read More