Die WordPress-Sicherheitslücke im Page Builder von SiteOrigin betrifft bis zu 500.000 Websites

Es wurde ein Hinweis zu einer Sicherheitslücke mit hohem Schweregrad veröffentlicht, die im WordPress-Plugin „Page Builder by SiteOrigin“ entdeckt wurde, das auf mehr als 500.000 Websites installiert ist. Dies ist die dritte Schwachstelle, die im SiteOrigin Page Builder im Jahr 2026 entdeckt wurde. Die Schwachstelle wird auf der CVSS-Schweregradskala mit 8,8 bewertet.

Was das Plugin macht

Page Builder von SiteOrigin ist ein Drag-and-Drop-Layout-Builder für WordPress. Es ermöglicht Websitebesitzern, mithilfe von Standard-WordPress-Widgets reaktionsfähige, spaltenbasierte Seitendesigns zu erstellen. Benutzer können Seiten visuell erstellen, ohne Code schreiben zu müssen.

Da es mit den meisten Themes funktioniert und keine Programmierkenntnisse erfordert, wird es häufig auf geschäftlichen und privaten Websites verwendet.

Erfordert Zugriff auf Mitwirkender-Ebene

Die Sicherheitslücke erfordert eine Authentifizierung. Ein Angreifer muss Zugriff auf die Ebene „Mitwirkender“ oder höher haben. Ein Mitwirkender ist eine der niedrigsten WordPress-Benutzerrollen. Mitwirkende können Beiträge erstellen und einreichen, diese jedoch nicht veröffentlichen. Dies bedeutet, dass für die Schwachstelle kein Administratorzugriff, aber ein Konto erforderlich ist.

Sicherheitslücke bezüglich lokaler Dateieinbindung

Das Plugin ist in allen Versionen bis einschließlich 2.33.5 anfällig für Local File Inclusion.

Lokale Dateieinbindung bedeutet, dass das Plugin gezwungen werden kann, Dateien vom Server zu laden, ohne dass die zulässigen Dateien ordnungsgemäß eingeschränkt werden.

Das Problem besteht in der Funktion „locate_template()“.

Was schief gelaufen ist

Das Plugin schränkt nicht richtig ein, welche Dateien über die Funktion „locate_template()“ eingebunden werden können.

Diese Funktion sollte nur genehmigte Vorlagendateien laden.

Was Angreifer tun können

Da die Einschränkung fehlt, kann ein authentifizierter Angreifer dazu führen, dass das Plugin beliebige Dateien einbezieht, die bereits auf dem Server vorhanden sind.

Wenn ein Angreifer eine Datei auf den Server hochladen kann, kann er das Plugin möglicherweise zwingen, diese Datei einzuschließen und sie als PHP-Code auszuführen.

Laut der offiziellen Wordfence-Beratung:

„Das Page Builder by SiteOrigin-Plugin für WordPress ist in allen Versionen bis einschließlich 2.33.5 über die Funktion „locate_template()“ anfällig für die Einbeziehung lokaler Dateien. Dies ermöglicht authentifizierten Angreifern mit Zugriff auf Mitwirkender-Ebene und höher, beliebige Dateien auf dem Server einzuschließen und auszuführen, wodurch die Ausführung von beliebigem PHP-Code in diesen Dateien ermöglicht wird.

Dies kann verwendet werden, um Zugriffskontrollen zu umgehen, vertrauliche Daten zu erhalten oder die Ausführung von Code zu erreichen, wenn Bilder und andere „sichere“ Dateitypen hochgeladen und eingebunden werden können.“

Betroffene und gepatchte Versionen

Die Sicherheitslücke betrifft die Plug-in-Versionen von Page Builder by SiteOrigins: 2.33.5 und früher. Das Problem wurde in Version 2.34.0 behoben.

Empfohlene Maßnahmen für Websitebesitzer

Websitebesitzer, die Page Builder von SiteOrigin verwenden, sollten auf Version 2.34.0 oder neuer aktualisieren. Wenn eine Aktualisierung nicht möglich ist, deaktivieren Sie das Plugin, bis es aktualisiert werden kann.

Ausgewähltes Bild von Shutterstock/Jan phanomphrai