Das SEO-Plug-in Rank Math für
Wordpress weist ein Sicherheitsleck auf, das als sehr gefährlich gilt und mit dem höchsten CVSS-Score 10 markiert ist: Angreifer können
unter Umständen jeden registrierten Nutzer zum Administrator deklarieren und so die volle Kontrolle über die betroffene Wordpress-Site übernehmen. Fast noch schlimmer: Auf die gleiche Weise können bestehenden Site-Administratoren ihre Rechte aberkannt werden.
Die Schwachstelle hat bisher keine CVE-Nummer erhalten, aber eine gepatchte Version von Rank Math steht schon zur Verfügung. Administratoren von Wordpress-Sites mit installiertem Rank Math in Versionen kleiner als 1.0.41.2 sollten sofort auf diese neue Version updaten.
Zudem enthält das Plug-in, das laut der
Plug-in-Website von Wordpress über 200'000 Mal installert ist, in vorhergehenden Versionen eine weitere Schwachstelle, die mit Sicherheitsrisiko hoch eingestuft ist. Hierbei können Angreifer über einen nicht geschützten REST-API-Endpunkt auf Wordpress-Seiten Redirects einrichten und die Betrachter auf Malware-infizierte Seiten umleiten.
(ubi)
