Wordpress - The Events Calendar: Unauthentifizierte SQL Injection (CVE-2024-8275) möglich

Am 24. September 2024 wurde eine kritische Sicherheitslücke (CVE-2024-8275) im WordPress-Plugin „The Events Calendar“ veröffentlicht, die bis zur Version 6.6.4 besteht. Die Schwachstelle ermöglicht eine SQL Injection über den Parameter order der Funktion tribe_has_next_event. Aufgrund unzureichender Absicherung der Benutzereingaben können Angreifer ohne Authentifizierung zusätzliche SQL-Befehle ausführen und sensible Daten aus der Datenbank extrahieren. Betroffen sind ausschließlich Websites, die die Funktion tribe_has_next_event() manuell eingebunden haben.

Mit einem CVSS-Score von 9.8 wird die Lücke als kritisch eingestuft. Nutzer von The Events Calendar sollten umgehend ihre Version überprüfen und auf eine neuere, sichere Version aktualisieren, sobald diese verfügbar ist. Weitere Informationen und Sicherheitshinweise sind auf der offiziellen Website des Plugins zu finden.

Tags :

Related Posts

Sicherheitslücke in pgAdmin: OAuth2-Authentifizierungsfehler (CVE-2024-9014)

Am 23. September 2024 wurde eine kritische Sicherheitslücke (CVE-2024-9014) in pgAdmin, Version 8.11 und älter, veröffentlicht. Die Schwachstelle betrifft die OAuth2-Authentifizierung und ermöglicht es Angreifern, möglicherweise die Client-ID und das Secret zu erlangen, was zu unautorisiertem Zugriff auf Benutzerdaten führen kann. Die Schwachstelle wurde mit einem CVSS-Score von 9.9 als kritisch eingestuft (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H).

Read More

Neuer Gitlab Patch enthält Backport für SAML-Authentifizierungsumgehung Fix

Am 25. September 2024 veröffentlichte GitLab eine kritische Patch-Version für mehrere ältere Versionen, darunter 16.10.10, 16.9.11 und 16.8.10 für die Community Edition (CE) und Enterprise Edition (EE). Diese Updates enthalten wichtige Sicherheitsfixes, die bereits in den neueren Versionen 17.3.3 bis 16.11.10 adressiert wurden. Eine der behobenen Schwachstellen betrifft eine kritische SAML-Authentifizierungsumgehung (CVE-2024-45409), die es Angreifern ermöglichen könnte, den Authentifizierungsprozess zu umgehen und Zugriff zu erlangen.

Read More

Deutsches Jugendherbergswerk bestätigt Ransomware-Angriff und Datenverlust

Ende August kam es zu erheblichen Störungen bei rund 450 deutschen Jugendherbergen. Wie nun bekannt wurde, steckt die Ransomware-Gruppe „Hunters“ hinter dem Vorfall. Die Cyberkriminellen haben nach eigenen Angaben Daten der Deutschen Jugendherbergen kopiert und die IT-Systeme lahmgelegt. Die betroffenen Systeme waren über mehrere Tage nicht erreichbar, was zu Einschränkungen bei Buchungen und der Funktionalität von Schlüsselkarten führte.

Read More