2015-1419: WordPress: Mehrere Schwachstellen ermöglichen u.a. einen Cross-Site-Scripting-Angriff

Historie:

Version 1 (2015-09-16 18:17): Neues Advisory
Version 2 (2015-09-17 16:43): Für die Distributionen Fedora 21, Fedora 22 und Fedora 23 sowie für Fedora EPEL 5, EPEL 6 und EPEL 7 stehen Sicherheitsupdates im Status 'testing' auf die Version 4.3.1 bereit.
Version 3 (2015-10-20 16:01): Für die Debian Linux Distributionen Jessie (8.2) und Stretch (9.0) stehen Sicherheitsupdates auf die Version 4.3.1 im Status 'testing' bereit.
Version 4 (2015-10-28 16:19): Debian aktualisiert die referenzierte Sicherheitsmeldung und benennt jetzt auch die Cross-Site-Scripting-Schwachstelle CVE-2015-7989, die durch die verfügbaren Sicherheitsupdates behoben wird.

Betroffene Software

Server

Betroffene Plattformen

Linux
Microsoft

Beschreibung:

Mehrere Schwachstellen in WordPress vor Version 4.3.1 ermöglichen einem entfernten, nicht authentifizierten Angreifer das Durchführen eines Cross-Site-Scripting-Angriffs, sowie eine Privilegieneskalation.
Von den zwei mit dem Release 4.3.1 adressierten Cross-Site-Scripting-Schwachstellen ist nur eine beschrieben und mit CVE registriert.

Schwachstellen:

CVE-2015-5714

Cross-Site-Scripting-Schwachstelle in WordPress

CVE-2015-5715

Schwachstelle in WordPress ermöglicht Privilegieneskalation

CVE-2015-7989