Bei beliebten Caching-Plugin WP Super Cache wurden gestern zwei schwere Sicherheitslücken festgestellt. Unter anderem gibt es eine XSS Lücke und eine PHP Object Injection. Damit können Angreifer im schlimmsten Fall die gesamte WordPress-Installation übernehmen und Malware aufspielen. In diesem Fall helfen dann auch die bekannten Sicherheitsmaßnahmen für WordPress wenig, da das Plugin selbst den Zugriff ermöglicht. Bisher scheint es noch keine gezielten Attacken auf diese Schwachstelle zu geben, aber es ist nur eine Frage der Zeit bis diese Lücke aktiv und massenhaft ausgenutzt wird.

Die Lücken bestehen bis zur Version 1.4.4 von WP Super Cache. Es ist bereits die eine neuere Version erschienen, die genau dieses Lücken schließt:

 

• Fixed XSS in settings page.
• Prevent PHP object injection through use of serialize().

Wer WP Super Cache einsetzt sollte also auf jeden Fall auf die neuste Version upgraden und auch prüfen, welche Version derzeit läuft.