Heute wurde eine wichtige Sicherheitslücke in der AffiliateWP-Codebasis entdeckt, die potenziell von einer böswilligen Person ausgenutzt werden könnte.
Die Lücke entstand durch mehrere Datenbankabfragen für Affiliate-, Empfehlungs-, Besuchs- und Kreativdaten, die anfällig für eine SQL-Injection waren.
Mit Version 1.5.7 wurde die Lücke behoben.
Wie wichtig ist das Update auf 1.5.7?
Wir nehmen Sicherheit sehr ernst und ermutigen die Benutzer immer, so schnell wie möglich auf die neuesten Versionen zu aktualisieren. In diesem speziellen Fall empfehlen wir Ihnen, sofort ein Update durchzuführen, um sicherzustellen, dass die Lücke behoben wird.
Wie könnte die Lücke ausgenutzt werden?
Aus Sicherheitsgründen können wir keine genauen Details darüber geben, wie die Lücke ausgenutzt werden könnte, aber wir können einen grundlegenden Überblick geben, um Ihnen eine Vorstellung davon zu vermitteln, was das Problem war.
Aufgrund einiger Parameter, die in unseren nur für Administratoren bestimmten Datenbankabfragen nicht ordnungsgemäß bereinigt wurden, war es potenziell möglich, dass jemand die Abfragen manipuliert und einen SQL-Injection-Angriff durchführt.
Hinweis: Diese SQL-Injection konnte nur dann auftreten, wenn der aktuell angemeldete Benutzer über die erforderlichen Berechtigungen zum Anzeigen und Bearbeiten von Affiliate-Daten verfügte. Abgemeldete Benutzer und Benutzer mit niedrigen Berechtigungen sind nicht betroffen. Das bedeutet, dass ein Angreifer einen Website-Administrator dazu bringen müsste, auf einen bösartigen Link zu klicken, damit die Lücke ausgenutzt werden kann.
Das Problem wurde innerhalb weniger Stunden nach der Entdeckung behoben und das Update sofort danach verfügbar gemacht. Um sicherzustellen, dass Ihre Website zu 100 % sicher ist, aktualisieren Sie bitte auf Version 1.5.7.
Wenn Sie Fragen oder Bedenken zu diesem Update oder der Sicherheit Ihrer Website haben, zögern Sie bitte nicht, uns zu kontaktieren.
1 Kommentar