SQL Injection Sicherheitslücke in Email Subscribers Plugin für WordPress entdeckt

Am 4. Juni 2024 wurde eine schwerwiegende Sicherheitslücke in dem Plugin “Email Subscribers by Icegram Express” für WordPress öffentlich bekannt gemacht. Diese Schwachstelle ermöglicht eine nicht authentifizierte SQL-Injection über den ‘hash’-Parameter in allen Versionen bis einschließlich 5.7.20. Das Plugin “Email Subscribers by Icegram Express” wird für E-Mail-Marketing, Newsletter und Automatisierung auf WordPress- und WooCommerce-Websites verwendet

Die Schwachstelle entsteht durch unzureichendes Escaping des benutzerdefinierten Parameters und mangelnde Vorbereitung der bestehenden SQL-Abfrage. Dadurch können Angreifer zusätzliche SQL-Abfragen in bestehende Abfragen einfügen und sensible Informationen aus der Datenbank extrahieren. Die Schwachstelle wurde mit einem CVSS-Score von 9.8 als kritisch eingestuft (CVE-2024-4295).

Nutzer des Plugins sollten umgehend auf die Version 5.7.21 oder höher aktualisieren, um diese Sicherheitslücke zu schließen

Tags :

Related Posts

Kritische RCE-Schwachstelle in Confluence Data Center und Server entdeckt

Atlassian hat eine schwerwiegende Sicherheitslücke in Confluence Data Center und Server gemeldet. Die Schwachstelle CVE-2024-21683, die als Remote Code Execution (RCE) klassifiziert ist, wurde erstmals in Version 5.2 eingeführt und betrifft mehrere Versionen der Software. Mit einem CVSS-Score von 8.3 wird diese Schwachstelle als hochgradig kritisch eingestuft.

Read More

FBI Aufruf an LockBit Opfer: wir konnten 7.000 Decryption Keys sicherstellen

In diesem Jahr führte das FBI auch eine komplexe Operation gegen LockBit durch, ein großes Ransomware-as-a-Service (RaaS)-Modell. LockBit wurde von dem russischen Programmierer Dimitri Khoroshev, alias “Putinkrab”, “Nerowolfe” und “LockBitsupp” gegründet. Er lizenziert LockBit-Ransomware an hunderte kriminelle Gruppen und erhält 20 % der erpressten Gelder. Khoroshev unterstützt seine Affiliates durch Hosting, Schätzung optimaler Lösegeldforderungen und Geldwäsche. Seit 2019 hat LockBit weltweit über 2.400 Angriffe durchgeführt, die Milliarden von Dollar an Schäden verursacht haben.

Read More

Sicherheitslücke bei Hotel-Check-in-Terminal Ariane Allegro entdeckt

Am 5. Juni 2024 berichtete die Pentagrid AG über eine Sicherheitslücke bei einem Hotel-Check-in-Terminal, das den Ariane Allegro Scenario Player im Kiosk-Modus nutzt. Diese Sicherheitslücke wurde während eines Bedrohungsmodellierungs-Workshops in einem neuen Hotel entdeckt, das keine Check-in-Mitarbeiter hat und vollständig auf Selbstbedienungsterminals setzt. Die Lücke erhielt die Bewertung CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, 6.8 / 10.

Read More