Die ausgenutzte Lücke in WooCommerce Wholesale Lead Capture erlaubt das Hochladen beliebiger Dateien, weil die AJAX-Aktion “wwlc_file_upload_handler” den Dateityp nicht validiert. Betroffen sind laut Wordfence sämtliche Plugin-Versionen bis einschließlich 2.0.3.1. Da keine Authentifizierung nötig ist, führt der Weg vom Upload direkt zur Codeausführung auf dem Server der betroffenen Seite.
Die hochgeladene PHP-Datei ist eine Webshell: Sie meldet Details zum Host zurück und stellt ein browserbasiertes Upload-Formular bereit, über das weitere Schaddateien auf die kompromittierte WordPress-Installation geschrieben werden können. Die Angriffsversuche stammen laut Wordfence aus einer Reihe von IP-Adressen, die das Unternehmen benennt.
Betreibern von WordPress-Seiten rät Wordfence, gezielt nach unerwarteten oder kürzlich angelegten .php-Dateien zu suchen — vor allem im Uploads-Verzeichnis. Zusätzlich sollten Zugriffe auf “/wp-admin/admin-ajax.php” geprüft werden, bei denen der Parameter action auf “wwlc_file_upload_handler” gesetzt ist und die von den genannten IP-Adressen ausgehen.
Unabhängig davon hat Wordfence zwei kritische Schwachstellen im Plugin The Events Calendar dokumentiert, das auf mehr als 600.000 Websites läuft. Eine erfolgreiche Ausnutzung setzt voraus, dass auf der Zielseite Kommentare aktiviert sind und die Plugin-Option “Kommentare auf Veranstaltungsseiten anzeigen” eingeschaltet ist.
“Beide Ketten beginnen in der Widget-Rendering-Pipeline des Plugins und können letztlich über zwei getrennte Wege zur Codeausführung aus der Ferne ohne Authentifizierung führen”, so Wordfence. Die erste Kette nutze PHP Object Injection, um beliebige Betriebssystembefehle auf dem darunterliegenden Server auszuführen. Die zweite umgehe den Schutzmechanismus gegen Object Injection und missbrauche ein sogenanntes arbitrary-callable-Primitiv, um das Passwort eines Administrators zurückzusetzen. “Danach kann ein Angreifer ein bösartiges Plugin hochladen und die vollständige Kontrolle über die Seite übernehmen”, erklärte das Unternehmen.
Besonders brisant: Beide Ketten lassen sich nach Angaben von Wordfence über die Vorschau ausstehender Kommentare auslösen, ohne dass ein Moderator sie freigeben muss. Als mögliche Folgen nennt die Firma die komplette Übernahme der Website, den Diebstahl sensibler Daten und das Ausbringen von Schadsoftware.
StellarWP, der Entwickler von The Events Calendar, hat die beiden Schwachstellen in den Versionen 6.17.3.1 beziehungsweise 6.17.4.1 behoben.