Die Schwachstelle wurde von Sicherheitsforscher Dmitrii Ignatyev entdeckt und betrifft alle Versionen des Smart Slider 3 Plugins bis einschließlich 3.5.1.33. Das Problem liegt in fehlenden Berechtigungsprüfungen in den AJAX-Export-Funktionen des Plugins.
Wie Sicherheitsexperten des WordPress-Spezialisten Defiant (Entwickler des Wordfence-Sicherheitsplugins) erklären, enthält die vulnerable Funktion “actionExportAll” keinerlei Validierungen für Dateitypen oder Dateiquellen. Dies bedeutet, dass nicht nur Bilder und Videos exportiert werden können — auch PHP-Dateien und andere kritische Systemdateien sind im Zugriff.
“Das macht es möglich, dass authentifizierte Angreifer mit minimalen Rechten, wie beispielsweise Abonnenten, beliebige Dateien vom Server auslesen können, einschließlich der wp-config.php-Datei mit Datenbankzugangsdaten und Verschlüsselungsschlüsseln,” erläutert István Márton, Vulnerability Researcher bei Defiant.
Obwohl das Plugin einen Sicherheits-Nonce einsetzt, bietet dieser keinen Schutz, da authentifizierte Benutzer diesen auslesen können. Das macht die Lücke besonders tückisch: Selbst auf Websites mit Membership-Systemen können böswillige Abonnenten die Schwachstelle ausnutzen.
Zeitablauf und Reaktion Die Entdeckung wurde am 23. Februar dem Sicherheitsunternehmen Wordfence gemeldet, das die Proof-of-Concept-Exploits validierte und den Plugin-Entwickler Nextendweb informierte. Das Unternehmen bestätigte den Report am 2. März und veröffentlichte am 24. März einen Patch mit Version 3.5.1.34.
Dem Schweregrad zum Trotz: Das Medium-Rating ist möglicherweise zu niedrig bewertet, da viele moderne WordPress-Installationen Membership- oder Abonnement-Funktionen bieten. Nach aktuellen WordPress.org-Statistiken wurden das Plugin in der vergangenen Woche über 303.000 Mal heruntergeladen.
Handlungsbedarf ist akut Deutsche Website-Betreiber sollten ihre Plugins sofort aktualisieren. Die Lücke wird bislang nicht aktiv ausgenutzt, diese Situation könnte sich aber schnell ändern. Der Patch steht bereit — Verzögerungen beim Einspielen sind nicht zu rechtfertigen.