Fehlerhafte Zugriffskontrolle
Erlaubt unbefugten Benutzern, privilegierte Aktionen auszuführen.
Was ist diese Schwachstelle?
Fehlerhafte Zugriffskontrolle (Broken Access Control) ist eine breite Kategorie von Schwachstellen, bei denen die Anwendung Einschränkungen nicht ordnungsgemäß durchsetzt, was authentifizierte Benutzer tun dürfen. Dies ist die #1-Schwachstellenkategorie in den OWASP Top 10. In WordPress bedeutet es typischerweise, dass niedrigprivilegierte Benutzer (Abonnenten, Mitarbeiter) auf Funktionen zugreifen können, die nur für Administratoren bestimmt sind, oder dass Autorisierungsprüfungen bei benutzerdefinierten Endpunkten fehlen.
Wie nutzt ein Angreifer dies aus?
Angreifer testen auf fehlerhafte Zugriffskontrolle, indem sie Aktionen mit verschiedenen Benutzerrollen durchführen. Sie loggen sich als Abonnent ein und versuchen, auf Admin-Endpunkte zuzugreifen, verwenden curl, um AJAX-Anfragen an Admin-Only-Aktionen zu senden, testen REST-API-Endpunkte auf fehlende permission_callback-Prüfungen und versuchen horizontale Rechteausweitung (Zugriff auf Daten anderer Benutzer auf derselben Berechtigungsstufe). Sie testen auch auf ungeschützte direkte Objektreferenzen und fehlende Nonce-Prüfungen bei zustandsändernden Aktionen.
Mögliche Konsequenzen
- Abonnenten greifen auf Admin-Only-Einstellungen und -Funktionen zu
- Niedrigprivilegierte Benutzer ändern Website-Einstellungen, erstellen Admin-Konten oder installieren Plugins
- Horizontale Rechteausweitung: Benutzer greifen auf private Daten anderer Benutzer zu
- Unauthentifizierter Zugriff auf Funktionen, die einen Login erfordern sollten
- Umgehung von Inhaltsbeschränkungen und Paywall-Schutz
- Änderung von Benutzerrollen, um sich selbst Admin-Rechte zu gewähren
Wie schützen Sie sich
- WordPress Capability-Prüfungen (current_user_can()) konsequent auf allen Endpunkten verwenden
- permission_callback auf allen REST-API-Routen implementieren – niemals __return_true verwenden
- Nonces (wp_verify_nonce()) für alle zustandsändernden Aktionen verwenden
- Das Prinzip der minimalen Berechtigung anwenden: nur die minimal notwendigen Berechtigungen gewähren
- Zugriff standardmäßig verweigern und explizit Berechtigungen für erlaubte Aktionen erteilen
- Alle benutzerdefinierten Endpunkte, AJAX-Handler und REST-Routen regelmäßig auf ordnungsgemäße Autorisierung prüfen
- Autorisierung mit verschiedenen Benutzerrollen während der Entwicklung testen
Wie finden Angreifer diese Schwachstelle?
Angreifer erstellen Konten mit verschiedenen Rollen (Abonnent, Mitarbeiter, Autor, Redakteur) und testen systematisch alle Endpunkte. Sie verwenden Browser-Entwicklertools und Intercepting Proxies, um AJAX-Anfragen und REST-API-Aufrufe zu identifizieren, und spielen sie dann mit niedrigprivilegierten Sessions erneut ab. Automatisierte Tools crawlen die Anwendung als Admin, zeichnen alle Endpunkte auf und testen sie dann mit reduzierten Berechtigungen. Sie suchen nach Aktionen, die 200 OK statt 403 Forbidden zurückgeben, wenn sie von unbefugten Benutzern aufgerufen werden.
Beispiel-CVEs aus unserer Datenbank
The WP Fastest Cache plugin for WordPress is vulnerable to Local File Inclusion in versions up to, and including, 0.8.5.9 via the id POST parameter. This allows authenticated attackers to include and execute arbitrary files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where images and other “safe” file types can be uploaded and included. This is due to an impartial fix of https://ti.wordfence.io/vulnerabilities/3ebe25a7-fa4d-4e3f-b969-2ff3a8388b06.
The Ultimate Member plugin for WordPress is vulnerable to Local File Inclusion in versions up to, and including, 1.3.64 via the 'page' parameter. This allows unauthenticated attackers to include and execute arbitrary files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where images and other “safe” file types can be uploaded and included.
The BuddyPress plugin for WordPress is vulnerable to authorization bypass in versions up to, and including, 7.2.1. This is due to missing authorization validation on the activity REST-API Endpoint. This makes it possible for authenticated attackers to favorite private and hidden activity they are not authorized to access.
The BuddyPress plugin for WordPress is vulnerable to Insufficient Input Validation in versions up to, and including, 6.3.0. This is due to missing authorization checks and proper sanitization on a users profile page. This makes it possible for authenticated attackers to add style attributes to the "span" and "p" elements when using the rich text fields which makes Cross-Site Scripting possible.
The BuddyPress plugin for WordPress is vulnerable to authorization bypass in versions up to, and including, 7.2.1. This is due to missing authorization validation on the group REST-API Endpoint. This makes it possible for authenticated attackers to join or request to join groups they are previously banned from.
... und 3,564 weitere in unserer Datenbank
Typische Auswirkung
Rechteausweitung, unbefugte Aktionen, Datenmanipulation.
Empfohlene Maßnahme
the affected plugin auf die neueste Version aktualisieren. Rollenbasierte Zugriffskontrolle auf allen Endpunkten implementieren und überprüfen.
Ist Ihre WordPress-Seite von dieser Art von Schwachstelle betroffen?
Jetzt Ihre Seite scannen