Heute veröffentlichen wir einen Artikel, den ich sehr interessant finde und der sich nicht nur auf die Entdeckung dieser neuen Sicherheitslücke im Slider Revolution-Plugin für WordPress konzentriert . Wir werden auch über die Unannehmlichkeiten beim Kauf von kommerziellen Themen und Plugins für WordPress auf Websites wie Codecanyon oder Themeforest sprechen, die in direktem Zusammenhang mit dieser Sicherheitsanfälligkeit im Slider Revolution-Plugin stehen.
Zunächst möchte ich Sie darauf hinweisen, dass die Sicherheitslücke dieses Plugins erst im September veröffentlicht wurde. Sie wurde jedoch vom Autor im Februar dieses Jahres mit der Veröffentlichung von Version 4.2 entdeckt und korrigiert . Der Autor hat beschlossen, den Fehler mit einem Sicherheitspatch zu beheben, ohne ihn jedoch ordnungsgemäß im Änderungsverlauf zu melden oder seine Kunden über das Vorhandensein dieser Sicherheitsanfälligkeit zu informieren.
Schwachstellenanalyse im Slider Revolution Plugin für WordPress
Es liegt eine Sicherheitsanfälligkeit des Typs LFI (Local File Inclusion) vor , mit der wir den Inhalt einer beliebigen Datei auf dem Server anzeigen können. Mit dieser Technik können wir beispielsweise die Datei wp-config.php und die Anmeldeinformationen der WordPress-Blog-Datenbank wp-config.php .
Das Anwendungsbeispiel ist vom Typ:
http://victima.com/wp-admin/admin-ajax.php?action=revslider_show_image&img=../wp-config.php
Dieses Plugin ist in vielen kommerziellen Themen enthalten und muss aktualisiert werden. Einige der Themen, die dieses Plugin verwenden, sind:
- WordPress IncredibleWP Theme.
- WordPress Ultimatum Theme.
- WordPress Medicate Theme.
- WordPress Centum Theme.
- WordPress Avada Theme.
- WordPress Striking Theme.
- WordPress Beach Apollo.
Nachteile beim Kauf von Plugins und kommerziellen Themen
Diese Sicherheitsanfälligkeit ist ein klares Beispiel dafür, warum wir uns von Käufen bestimmter Premium-Themen und -Plugins in Geschäften wie Codecanyon oder Themeforest fernhalten sollten. In diesem Fall ist das Slider Revolution-Zahlungs-Plugin betroffen, das keine Benachrichtigungsmethode für neue Versionen enthält. Wann immer Sie ein Theme oder Plugin kaufen, das ein Update-Benachrichtigungssystem enthält.
Das Problem wird dadurch verursacht, dass Entwickler dieses Plugin in ihre Premium-Themes aufnehmen und der Endbenutzer es in den meisten Fällen ignoriert. Da das Plugin kein Benachrichtigungssystem für neue Updates hat, muss der Entwickler die neuen Versionen kennen, um das Thema zu aktualisieren. Dies ist keine effektive Methode.
Ein weiterer Nachteil ist, dass diese kommerziellen Themen und Plugins auf kostenpflichtigen Lizenzen basieren und in vielen Fällen für den Erhalt von Support oder neuen Updates Kosten anfallen. Letztendlich ist dies genauso wichtig wie der Schutz vor Sicherheitslücken Kritik hat uns zusätzliches Geld gekostet.
Das Schlimmste ist schließlich, wenn ein Entwickler die Sicherheitsanfälligkeit in seinem Plugin oder Thema nicht veröffentlicht und so alle seine Kunden gefährdet. Diese Entwickler haben kein Interesse daran, diese Sicherheitsanfälligkeiten zu veröffentlichen, da sie befürchten, den Umsatz ihres Plugins zu senken. Dies ist eigentlich nur eine Form der unangemessenen Behandlung ihrer Kunden, die jederzeit über die Schwachstellen informiert werden sollten.