Core

Betroffen ist WordPress Core, die Basis-Software zahlreicher Websites. Der Fehler liegt in der Verarbeitung von Anfragen an den Batch-Endpunkt der REST-API: Die dort übergebenen Routen können unterschiedlich interpretiert werden, sodass eine Anfrage an eine andere Stelle geleitet wird als vorgesehen. Diese Routenverwechslung ist für sich genommen ein Interpretationskonflikt, entfaltet ihre Wirkung aber im Zusammenspiel mit einer weiteren Lücke, die eine SQL-Injection über einen Abfrageparameter erlaubt. In Kombination kann ein Angreifer eigene Datenbankbefehle einschleusen und darüber hinaus letztlich Code aus der Ferne auf dem betroffenen System ausführen. Damit sind sowohl die Inhalte der Website-Datenbank als auch der Server selbst gefährdet. Da die REST-API standardmäßig über das Netz erreichbar ist, steht dieser Angriffsweg bei ungepatchten Installationen unmittelbar offen.