Wordpress: Sicherheitslücke in MiniOrange WAF und Malware Scanner

Die im März 2024 bekanntgewordene Sicherheitslücke CVE-2024-2172 betrifft 2 beliebte WordPress Security Plugins von miniOrange. Im Malware-Scanner-Plugin und im Web Application Firewall-Plugin sind dadurch unautorisierte Rechteausweitungen möglich. Die Schwachstelle betrifft die Versionen des Malware-Scanners bis einschließlich 4.7.2 und die Web Application Firewall bis einschließlich 2.1.1. Mit einem CVSS-Score von 9.8 wird diese Schwachstelle als kritisch eingestuft.

Die Sicherheitslücke ermöglicht es einem nicht authentifizierten Angreifer, sich selbst administrative Rechte zu verschaffen, indem er das Benutzerpasswort ändert. Dies könnte Angreifern weitreichende Kontrolle über eine WordPress-Website verschaffen, einschließlich Zugriff auf sensible Daten und die Möglichkeit, weitere bösartige Aktionen durchzuführen.

Die Entdeckung dieser Schwachstelle erfolgte während eines Bug Bounty Extravaganza-Events, das von der Cybersicherheitsfirma Wordfence ausgerichtet wurde. Dies unterstreicht die Bedeutung solcher Veranstaltungen in der Früherkennung und Behebung von Sicherheitsrisiken.

Um sich vor möglichen Gefahren durch diese Sicherheitslücke zu schützen, wird dringend empfohlen, die betroffenen Plugins auf die neuesten Versionen zu aktualisieren. Nutzer sollten den Malware-Scanner und die Web Application Firewall umgehend deinstallieren, da im Zuge des Bekanntwerdens der Schwachstellen die Plugins eingestellt wurden.