Sicherheitslücke in Yoast SEO-Plugin ermöglicht Cross-Site Scripting

Eine kritische Sicherheitslücke wurde in allen Versionen des Yoast SEO Plugins für WordPress bis einschließlich Version 22.5 entdeckt. Die Schwachstelle CVE-2024-4041 ermöglicht reflektiertes Cross-Site Scripting (XSS) durch unsachgemäße Bereinigung von Eingaben und unzureichende Ausgabe-Eskapierung. Dies könnte es nicht authentifizierten Angreifern ermöglichen, willkürlich Web-Skripte in Seiten einzuschleusen, wenn sie einen Nutzer dazu bringen können, eine manipulierte Aktion wie das Klicken auf einen Link auszuführen.

Zur Behebung dieser Sicherheitsanfälligkeit wurde in Version 22.6 des Plugins eine korrigierte Version bereitgestellt, die verbesserte Eingabebereinigung und sichere Ausgabe-Eskapierungsfunktionen umfasst. Anwender des Plugins werden dringend dazu aufgefordert, auf die neueste Version zu aktualisieren, um sich vor möglichen Angriffen zu schützen.

Die Quellcode-Änderung aus der gepatchten Version 22.6 des Yoast SEO Plugins zeigt, wie die Entwickler die Sicherheitslücke behoben haben, indem sie sicherere Funktionen zur Verhinderung von Cross-Site Scripting eingeführt haben. Hier sind einige der Änderungen:

Escape von HTML: Die Funktion esc_html__() wird verwendet, um sicherzustellen, dass jeglicher Text, der als HTML ausgegeben wird, ordnungsgemäß eskapiert ist, um die Ausführung von schädlichem Skriptcode zu verhindern. Dies wird im Code durch den Wechsel von __() zu esc_html__() deutlich. Beispieländerung:

   // Vorher
   __( '-30%', 'wordpress-seo' )

   // Nachher
   esc_html__( '-30%', 'wordpress-seo' )

Sichere URLs: Die Funktion esc_url() wird verwendet, um sicherzustellen, dass URLs sicher sind und keine schädlichen Skripte oder unerwarteten Weiterleitungen enthalten können. Dies ist wichtig für Links, die im Plugin verwendet werden. Beispieländerung:

   // Vorher
   $this->shortlinker->build_shortlink( 'https://yoa.st/admin-bar-get-premium' ),

   // Nachher
   esc_url( $this->shortlinker->build_shortlink( 'https://yoa.st/admin-bar-get-premium' ) ),