Historische Schwachstelle in WP Live Chat Support vor 8.0.27

Dieser Hinweis ist historisch und beschreibt keine aktuelle Schwachstelle in allen Versionen des Plugins.

Die von Sucuri dokumentierte Schwachstelle betraf Versionen von WP Live Chat Support vor 8.0.27. Sie erlaubte es, ohne Authentifizierung die Option wplc_custom_js zu ändern und persistentes JavaScript einzuschleusen, mit dem Besucher umgeleitet werden konnten. Sie ist nicht zu verwechseln mit CVE-2019-14950, das eine andere XSS-Lücke desselben Plugins über die DSGVO-Seite beschreibt.

Wenn Sie eine betroffene Version finden, sichern Sie zuerst die Beweise, versetzen Sie die Website in den Wartungsmodus und aktualisieren oder installieren Sie die Komponente aus einer offiziellen Quelle neu. Prüfen Sie die betroffene Option und den Rest der Installation, einschließlich Benutzer, Dateien, Datenbank und Logs.

Führen Sie eine Weiterleitung nicht allein deshalb auf dieses Plugin zurück, weil es installiert ist: Bestätigen Sie die verwundbare Version und suchen Sie nach passenden Beweisen. Ist die aktuelle Komponente nicht mehr dasselbe Projekt oder wird sie nicht zuverlässig gepflegt, bereiten Sie einen Ersatz vor und testen Sie ihn, bevor Sie sie entfernen.

Lesen Sie auch die Sicherheitstipps für WordPress.

Die Version 8.0.27 wird als Korrektur jenes Fehlers von 2019 genannt, nicht als heute empfohlene Version. Installieren Sie kein altes Paket, um diese Nummer zu erreichen. Ermitteln Sie das aktuelle Projekt und seine Pflege, bevor Sie es aktualisieren oder ersetzen.

Wenn Sie eine historische Kopie untersuchen, sichern Sie den Wert der Option und seinen Kontext, bevor Sie ihn korrigieren. Das Entfernen des sichtbaren JavaScripts schließt weitere Änderungen nicht aus und beseitigt nicht den Zugang, über den es eingeschleust wurde.