Das Plugin „eMagicOne Store Manager für WooCommerce“ wird in WordPress verwendet, um die Shopverwaltung zu vereinfachen und zu verbessern, indem es Funktionen bereitstellt, die in der normalen WooCommerce-Administrationsoberfläche nicht zu finden sind.
Im eMagicOne Store Manager für das WooCommerce WordPress-Plugin wurden zwei schwerwiegende Fehler gefunden, CVE-2025-5058 und CVE-2025-4603. Der kritische CVSS-Score liegt über 9. Nur in bestimmten Situationen, beispielsweise bei Standardkonfigurationen mit einem 1:1-Passwort oder wenn es dem Angreifer gelingt, an legitime Anmeldeinformationen zu gelangen, kann er Remotecode ausführen.
Betroffene Versionen:
- eMagicOne Store Manager für WooCommerce * <=2.5
Details zur Sicherheitslücke:
- CVE-2025-5058:
Der Remote-Management-Protokoll-Endpunkt (?connector=bridge) des Plugins, der Datei-Uploads verwaltet, ist anfällig. Die Ursache der Sicherheitslücke liegt in der fehlerhaften Dateitypvalidierung von setimage(). Der Authentifizierungsmechanismus verwendet das Sitzungsschlüsselsystem und die Standardanmeldeinformationen (Login=1, Passwort=1).
Sitzungsschlüsselerfassung:
Durch Senden einer POST-Anfrage an den Bridge-Endpunkt mit dem Hash und einer Aufgabe (z. B. get_version) wird ein Sitzungsschlüssel ermittelt.
Beliebiger Dateiupload:
Ein Angreifer kann die Aufgabe „set_image“ verwenden, um eine Datei mit einem gültigen Sitzungsschlüssel hochzuladen und die Parameter auszunutzen, um jede beliebige Datei zu schreiben.
Konsequenzen in der realen Welt:
Diese Schwachstelle ermöglicht es Angreifern, beliebige Dateien auf den Server der kompromittierten Site hochzuladen, was zur Remote-Codeausführung führen kann. Bleiben die Standardanmeldeinformationen unverändert, können nicht authentifizierte Angreifer dies ausnutzen, was den Schaden erheblich vergrößert. Eine erfolgreiche Ausnutzung kann zu einer vollständigen Kompromittierung des Servers führen, wodurch Angreifer Zugriff auf private Daten erhalten, Schadcode ausführen oder weitere Kompromittierungen vornehmen können.
- CVE-2025-4603:
Die Funktion delete_file() des eMagicOne Store Manager für WooCommerce-Plugin für WordPress verfügt nicht über eine ausreichende Dateipfadvalidierung und ist daher anfällig für willkürliches Löschen von Dateien. Dies ermöglicht es nicht autorisierten Angreifern, beliebige Dateien vom Server zu entfernen, was leicht zur Remotecodeausführung führen kann, wenn die richtige Datei (wie wp-config.php) entfernt wird. Nicht authentifizierte Angreifer können dies in Standardinstallationen ausnutzen.
Der Remote-Management-Protokoll-Endpunkt (?connector=bridge) des Plugins, der das Löschen von Dateien verwaltet, ist die Quelle der Sicherheitslücke. Der Authentifizierungsmechanismus verwendet das Sitzungsschlüsselsystem und die Standardanmeldeinformationen (Login=1, Passwort=1). Der Standard-Authentifizierungs-Hash, md5('1'. '1'), wird wie folgt berechnet: c4ca4238a0b923820dcc509a6f75849b. Ein Angreifer kann die Funktion „delete_file“ verwenden, um beliebige Dateien aus dem WordPress-Stammverzeichnis oder einem beliebigen zugänglichen Verzeichnis zu entfernen, nachdem er einen Sitzungsschlüssel erhalten hat.
Sitzungsschlüsselerfassung:
Durch Senden einer POST-Anfrage an den Bridge-Endpunkt mit dem Hash und einer Aufgabe (z. B. get_version) wird ein Sitzungsschlüssel ermittelt.
Beliebiges Löschen von Dateien:
Ein Angreifer kann die Aufgabe „delete_file“ verwenden, um eine Datei zu löschen, wenn er über einen gültigen Sitzungsschlüssel verfügt.
Konsequenzen in der realen Welt:
Wird diese Sicherheitslücke erfolgreich ausgenutzt, können wichtige Serverdateien wie wp-config.php gelöscht werden. Dies kann zu Störungen der Website und zur Remote-Codeausführung führen. Die Verfügbarkeit und Integrität der WordPress-Installation sind durch die Möglichkeit, beliebige Dateien zu löschen, ernsthaft gefährdet.
Gegenmaßnahmen für beide CVEs.
- Aktualisieren Sie ihre Authentifizierungsdaten umgehend von den Standardwerten.
- Es wird empfohlen, das Plugin auf die neueste Version als 1.2.5 zu aktualisieren, sobald ein Patch verfügbar ist.
- Implementieren Sie eine strenge Datei-Upload-Validierung für CVE-2025-5058.
- Überprüfen und beschränken Sie die serverseitigen Datei-Upload-Berechtigungen für CVE-2025-5058.
Fazit:
CVE-2025-5058 und CVE-2025-4603 zeigen, wie Standardkonfigurationen zu einem Vektor für unbeabsichtigte Datenfreigabe werden können. Durch unsachgemäße Dateiverarbeitung und unzureichende Dateipfadvalidierung kann ein Angreifer die Site kompromittieren, was zur Remotecodeausführung führt. Nicht authentifizierte Angreifer können unveränderte Standardanmeldeinformationen ausnutzen, was erheblichen Schaden anrichten kann.
