Es wurde festgestellt, dass der beliebte Beaver Builder WordPress Page Builder eine XSS-Schwachstelle enthält, die es einem Angreifer ermöglichen kann, Skripte in die Website einzuschleusen, die ausgeführt werden, wenn ein Benutzer eine Webseite besucht.
Biberbauer
Beaver Builder ist ein beliebtes Plugin, mit dem jeder mithilfe einer benutzerfreundlichen Drag-and-Drop-Oberfläche eine professionell aussehende Website erstellen kann. Benutzer können mit einer vorgefertigten Vorlage beginnen oder eine Website von Grund auf erstellen.
Gespeicherte Cross-Site-Scripting-Sicherheitslücke (XSS).
Sicherheitsforscher von Wordfence haben einen Hinweis zu einer XSS-Schwachstelle veröffentlicht, die das Page Builder-Plugin betrifft. Eine XSS-Schwachstelle findet sich typischerweise in einem Teil eines Themes oder Plugins, der Benutzereingaben zulässt. Der Fehler tritt auf, wenn nicht ausreichend gefiltert wird, was eingegeben werden kann (ein Prozess, der als Eingabebereinigung bezeichnet wird). Ein weiterer Fehler, der zu einem XSS führt, ist das unzureichende Ausgabe-Escapen. Dabei handelt es sich um eine Sicherheitsmaßnahme für die Ausgabe eines Plugins, die verhindert, dass schädliche Skripte an einen Website-Browser weitergeleitet werden.
Diese spezielle Sicherheitslücke wird als Stored XSS bezeichnet. Gespeichert bedeutet, dass ein Angreifer ein Skript direkt auf dem Webserver einschleusen kann. Dies unterscheidet sich von einem reflektierten XSS, bei dem ein Opfer auf einen Link zur angegriffenen Website klicken muss, um ein bösartiges Skript auszuführen. Ein gespeichertes XSS (wie es den Beaver Builder betrifft) wird im Allgemeinen als gefährlicher angesehen als ein reflektiertes XSS.
Die Sicherheitslücken, die zu einer XSS-Schwachstelle im Beaver Builder führten, waren auf eine unzureichende Eingabebereinigung und Ausgabe-Escape-Funktion zurückzuführen.
Wordfence beschrieb die Sicherheitslücke:
„Das Beaver Builder – WordPress Page Builder-Plugin für WordPress ist in allen Versionen bis einschließlich 2.8.0.5 anfällig für gespeichertes Cross-Site-Scripting über das Button-Widget des Plugins, da die Eingabe nicht ausreichend bereinigt wird und die Ausgabe auf vom Benutzer bereitgestellten Attributen maskiert wird.“ Dies ermöglicht es authentifizierten Angreifern mit Zugriff auf Mitwirkender-Ebene und höher, beliebige Webskripte in Seiten einzuschleusen, die immer dann ausgeführt werden, wenn ein Benutzer auf eine eingeschleuste Seite zugreift.“
Die Schwachstelle wird mit 6,4 bewertet, was einer Bedrohung mittlerer Stufe entspricht. Angreifer müssen mindestens Berechtigungsstufen auf Mitwirkender-Ebene erlangen, um einen Angriff starten zu können, was die Ausnutzung dieser Schwachstelle etwas schwieriger macht.
Im offiziellen Änderungsprotokoll von Beaver Builder, das dokumentiert, was in einem Update enthalten ist, wird darauf hingewiesen, dass in Version 2.8.0.7 ein Patch veröffentlicht wurde.
Das Changelog vermerkt:
„XSS-Problem in Button- und Button-Gruppenmodulen bei Verwendung von Lightbox beheben“
Empfohlene Maßnahme: Im Allgemeinen empfiehlt es sich, eine Schwachstelle zu aktualisieren und zu patchen, bevor ein Angreifer sie ausnutzen kann. Es empfiehlt sich, die Website zunächst bereitzustellen, bevor ein Update live geschaltet wird, für den Fall, dass das aktualisierte Plugin mit einem anderen Plugin oder Theme in Konflikt steht.
Lesen Sie die Wordfence-Beratung:
Beaver Builder – WordPress Page Builder <= 2.8.0.5 – Authentifiziertes (Mitwirkender+) gespeichertes Cross-Site-Scripting über Button
Siehe auch:
Ausgewähltes Bild von Shutterstock/Prostock-studio