Wordpress Ultimate Member Plugin leaked Passwort Hashes

Table of Contents

Im Februar 2024 wurde eine kritische Sicherheitslücke im Ultimate Member WordPress-Plugin entdeckt wurde, die die Versionen 2.1.3 bis 2.8.2 betrifft. Diese Schwachstelle CVE-2024-1071 resultiert aus einem nicht authentifizierten SQL-Injection-Fehler. Angreifer können diese Schwachstelle ausnutzen, indem sie den “sorting”-Parameter innerhalb des Plugins manipulieren. Diese Manipulation ermöglicht es ihnen, bösartigen SQL-Code in die Datenbankabfragen des Plugins einzufügen.

Wenn erfolgreich ausgenutzt, können Angreifer diese Schwachstelle nutzen, um Folgendes zu erreichen:

  • Passworthashes stehlen: Durch Kompromittierung der Datenbank können Angreifer Zugriff auf gespeicherte Passworthashes erlangen. Es ist jedoch wichtig zu beachten, dass diese in der Regel mit sicheren Algorithmen gehasht sind, was es schwierig macht, tatsächliche Passwörter direkt zu extrahieren.
  • Unbefugten Zugriff erlangen: Wenn der verwendete Hashing-Algorithmus schwach ist oder der Angreifer auf zusätzliche Informationen zugreifen kann (z.B. Passwort-Sprüh-Techniken), könnte es ihnen gelingen, die Passworthashes zu knacken und unbefugten Zugriff auf Benutzerkonten zu erlangen.

Risikominderung

So gehen Sie mit dieser Schwachstelle um und schützen Ihre Website:

  • Aktualisieren Sie das Ultimate Member Plugin sofort: Die Entwickler haben eine gepatchte Version (2.8.3) veröffentlicht, die diese Schwachstelle behebt. Aktualisieren Sie Ihr Plugin so schnell wie möglich auf die neueste Version.

  • Erwägen Sie, Benutzerpasswörter zurückzusetzen: Obwohl Passworthashes in der Regel sicher sind, könnten Sie als Vorsichtsmaßnahme in Betracht ziehen, Benutzer dazu aufzufordern, ihre Passwörter zurückzusetzen, insbesondere wenn sie glauben, dass ihre Konten kompromittiert sein könnten.

  • Bewahren Sie gute Sicherheitspraktiken: Aktualisieren Sie regelmäßig alle WordPress-Plugins und -Themes, verwenden Sie starke Passwörter für alle Konten und implementieren Sie zusätzliche Sicherheitsmaßnahmen wie die Zwei-Faktor-Authentifizierung, wo verfügbar.

Tags :

Related Posts

Liferay Portal und DXP: kritische XSS Lücke identifiziert

21.2.2024: Eine kritische XSS Sicherheitslücke in Liferay Portal und DXP sowie in älteren, nicht mehr unterstützten Versionen ermöglicht es entfernten, authentifizierten Benutzern, beliebigen Web-Script- oder HTML-Code einzuschleusen. Dies geschieht durch eine speziell gestaltete Eingabe, die in die Textfelder für Vor-, Mittel- oder Nachnamen des Benutzers, der einen Eintrag im (1) Ankündigungs-Widget oder (2) Alarm-Widget erstellt, injiziert wird. Diese Schwachstelle eröffnet Angreifern die Möglichkeit, schädlichen Code in die betroffene Webseite einzubetten, was weitreichende Sicherheitsrisiken für die Benutzer der Plattform darstellt.

Read More

Kritische 10/10 Schwachstelle in Kemp Technologies LoadMaster

Die Schwachstelle CVE-2024-1212 mit Kritikalität 10/10 auf Kemp Technologies LoadMaster Loadbalancern erfordert sofortiges Handeln von Administratoren. Denn die Systeme sind dadurch anfällig für nicht authentifizierte Remote-Angriffe, die potenziell zu einer vollständigen Systemkompromittierung führen könnten.

Read More

WordPress MoveTo Plugin: Arbitrary File Upload Vulnerability

Das WordPress MoveTo Plugin, eine populäre Wordpress-Erweiterung zur Migration von Inhalten zwischen verschiedenen WordPress-Installationen, ist anfällig für eine kritische 9.8/10 CVSS Arbitrary File Upload Sicherheitslücke. Diese Sicherheitslücke wurde von Dave Jong von Patchstack Security entdeckt und gemeldet. Sie ermöglicht es einem bösartigen Angreifer, beliebige Dateien auf eine Website hochzuladen, die das Plugin verwendet, einschließlich potenziell schädlicher Dateien wie Hintertüren, die ausgeführt werden können, um weiteren Zugriff auf die Website zu erlangen.

Read More