Das beliebte WordPress-Plugin All In One SEO Pack weist in den Versionen vor Version 2.3.7 eine gefährliche Sicherheitslücke auf. Darauf hat der Sicherheitsexperte David Vaartjes aufmerksam gemacht. Die Lücke betrifft die Bot-Blocker-Funktion.
Lässt der Administrator Bot-Aktivitäten protokollieren, stellt das Plugin Bot-Anfragen auf einer HTML-Seite im Administrationsbereich dar, ohne die darzustellenden Inhalte zuvor auf Scriptcode zu prüfen. Besucht ein Angreifer die Seite und verwendet dabei einen manipulierten Referrer-Header oder User Agent, kann er auf diese Art gefährlichen Code in das Protokoll injizieren, der ausgeführt wird, sobald sich der Adminstrator das Protokoll ansieht. In der aktuellen Version ist diese Lücke geschlossen. (Quelle: Summer of Pwnage/db)
