WPML 4.5.14 – Sicherheitsverbesserungen

Wir haben gerade WPML 4.5.14 mit einer kleinen Sicherheitsverbesserung veröffentlicht.

Vor einigen Wochen erhielten wir Berichte über einen Sicherheitshinweis im Zusammenhang mit WPML. Der Hinweis wird nur im Plesk-Control-Panel angezeigt und beschreibt das Problem als „Cross-Site Request Forgery (CSRF) vulnerability“. Wir sind jedem dankbar, der dies gemeldet hat.

Update: Nach der Veröffentlichung von WPML 4.5.14 erhielten wir Berichte von Kunden, dass der entsprechende Sicherheitshinweis in Plesk damit erfolgreich behoben wird.

Wann diese Schwachstelle auftritt

Es ist äußerst unwahrscheinlich, dass dieses Problem ausgenutzt wird, und es tritt nur unter ganz bestimmten Umständen auf:

• Ein Benutzer mit Admin-Rechten klickt auf einen bösartigen Link von einer externen Website und nutzt dabei dieselbe Browser-Sitzung/dieselben Cookies

… und eine der folgenden Bedingungen trifft ebenfalls zu:

• Der Server ist explizit so konfiguriert, dass er Cross-Origin Resource Sharing (CORS) mit der vom Angreifer verwendeten Domain zulässt
• Der betroffene Benutzer verwendet einen Browser, der CORS-Einstellungen ignoriert oder Cookie-Informationen für Anfragen ohne Cross-Origin-Richtlinien weitergibt

Soweit wir wissen, hat niemand seine Websites tatsächlich auf diese Weise konfiguriert und niemand war von diesem Problem betroffen.

WPML 4.5.14 ist jetzt verfügbar und behebt dieses Problem.

Die Bedeutung von Sicherheitsberichten

Wir sind uns der Bedeutung von Sicherheitsberichten bewusst und reagieren normalerweise sofort. Dieses Mal wurden wir durch die Probleme im Zusammenhang mit WordPress 6.1 aufgehalten, sodass wir etwas länger als gewöhnlich für eine Antwort brauchten.

Wir verbessern bereits unseren Workflow, um sicherzustellen, dass selbst die kleinsten Sicherheitsberichte untersucht, behoben und sofort veröffentlicht werden.

So aktualisieren Sie auf WPML 4.5.14

Diese Version wird schrittweise eingeführt. Wenn Sie sie sofort erhalten möchten, können Sie manuell nach dem Update suchen. Gehen Sie dazu zu Plugins → Installieren und klicken Sie auf den Tab Kommerziell. Klicken Sie dann auf Nach Updates suchen.

Sie können es auch direkt aus Ihrem WPML-Konto herunterladen.

Gedanken, Feedback?

Nutzen Sie die Kommentare unten, um uns Ihre Meinung zu dieser Version mitzuteilen, und wir werden Ihnen antworten.