Anfang dieser Woche haben wir Charitable 1.6.39 veröffentlicht, das eine Sicherheitslücke (neben einigen anderen Fehlerbehebungen) behoben hat. Bitte aktualisieren Sie so bald wie möglich, falls Sie dies noch nicht getan haben.

Gleich zu Beginn dieses Beitrags möchte ich sagen, dass mir keine Seiten bekannt sind, die Charitable verwenden und anfällig für dieses Problem wären. Wir haben dieses Problem intern entdeckt und innerhalb eines Tages nach der Identifizierung des Problems eine Lösung veröffentlicht.

Wer war betroffen?

Wenn Sie Charitable verwenden, waren Sie von dieser Schwachstelle nicht betroffen, es sei denn:

• Sie haben einige (nicht alle) der von Charitable hinzugefügten Berechtigungen für die Rollen „Kampagnenmanager“ oder „Administrator“ oder für bestimmte Benutzer mit diesen Rollen entfernt.
• Sie haben einige (nicht alle) der für die Rollen „Kampagnenmanager“/„Administrator“ verfügbaren Charitable-spezifischen Berechtigungen zu einer anderen Rolle (wie z. B. Redakteur) oder zu einem bestimmten Benutzer hinzugefügt.

Das Ändern der Berechtigungen, die einer bestimmten Rolle oder einem bestimmten Benutzer zugewiesen sind, ist mit WordPress standardmäßig nicht möglich, aber es ist möglich, dies mit einer Reihe von verschiedenen Plugins zu tun.

Was war die Schwachstelle?

Diese Schwachstelle steht in direktem Zusammenhang mit den von Charitable hinzugefügten Rollen und Berechtigungen.

Charitable-Rollen und -Berechtigungen verstehen

Charitable Core registriert zwei Benutzerrollen, von denen eine die Rolle des Kampagnenmanagers ist. Diese Rolle verfügt über eine Reihe von Berechtigungen, die steuern, was Kampagnenmanager-Benutzer tun können.

Zu den für den Kampagnenmanager verfügbaren Berechtigungen gehören alle für Redakteure verfügbaren Berechtigungen sowie eine Reihe von Berechtigungen, die von Charitable hinzugefügt werden:

• sensible Spenden-Daten anzeigen
• Spendenberichte exportieren
• Kampagne bearbeiten
• Kampagne lesen
• Kampagne löschen
• Kampagnen bearbeiten
• Kampagnen anderer bearbeiten
• Kampagnen veröffentlichen
• Private Kampagnen lesen
• Kampagnen löschen
• Private Kampagnen löschen
• Veröffentlichte Kampagnen löschen
• Kampagnen anderer löschen
• Private Kampagnen bearbeiten
• Veröffentlichte Kampagnen bearbeiten
• Spende bearbeiten
• Spende lesen
• Spende löschen
• Spenden bearbeiten
• Spenden anderer bearbeiten
• Spenden veröffentlichen
• Private Spenden lesen
• Spenden löschen
• Private Spenden löschen
• Veröffentlichte Spenden löschen
• Spenden anderer löschen
• Private Spenden bearbeiten
• Veröffentlichte Spenden bearbeiten
• Kampagnenbedingungen verwalten
• Kampagnenbedingungen bearbeiten
• Kampagnenbedingungen löschen
• Kampagnenbedingungen zuweisen

Hinweis: Alle oben genannten Berechtigungen werden auch der Rolle Administrator hinzugefügt.

Wer ist von der Schwachstelle betroffen?

Wenn eine Website jedoch modifiziert, welche Berechtigungen für bestimmte Rollen oder bestimmte Benutzer verfügbar sind, besteht die Möglichkeit, dass Benutzern versehentlich mehr Informationen zur Verfügung gestellt werden, als sie zugreifen sollten.

Insbesondere:

• Ein Benutzer mit der Berechtigung edit_campaigns, aber ohne die Berechtigung edit_private_campaigns, könnte auf der Seite Kampagnen immer noch private Kampagnen sehen, obwohl er diese nicht bearbeiten könnte.
• Ein Benutzer mit der Berechtigung edit_campaigns, aber ohne die Berechtigung edit_others_campaigns, könnte auf der Seite Kampagnen immer noch Kampagnen anderer Benutzer sehen, obwohl er diese nicht bearbeiten könnte.
• Ein Benutzer mit der Berechtigung edit_donations, aber ohne die Berechtigung edit_others_donations, könnte auf der Seite Spenden Spenden anderer Benutzer sehen, mit Links zum Anzeigen oder Bearbeiten, obwohl das Klicken auf den Link dazu führen würde, dass WordPress ihn darüber informiert, dass er nicht über die erforderlichen Berechtigungen verfügt.
• Ein Benutzer mit der Berechtigung edit_donations, aber ohne die Berechtigung edit_others_donations, könnte über das Admin-Formular für manuelle Spenden neue Spenden für andere Benutzer erstellen.
• Ein Benutzer ohne die Berechtigung export_charitable_reports, aber mit den Berechtigungen edit_donations oder edit_campaigns, könnte die Spenden- oder Kampagnenberichte exportieren.
• Ein Benutzer mit der Berechtigung view_charitable_sensitive_data, aber ohne Berechtigungen im Zusammenhang mit der Verwaltung von Kampagnenbedingungen, wie z. B. manage_campaign_terms, könnte immer noch auf die Seiten Kampagnenkategorien und Kampagnen-Tags zugreifen und Begriffe erstellen/bearbeiten/löschen.

Wenn Sie wissen, dass Sie Änderungen an der Zuweisung von Berechtigungen zu verschiedenen Rollen oder bestimmten Benutzern auf Ihrer WordPress-Website vorgenommen haben, aktualisieren Sie so bald wie möglich auf Charitable 1.6.39.

Neben den oben genannten Problemen wurden in Charitable 1.6.39 auch andere Probleme im Zusammenhang mit geänderten Rollen oder Benutzerberechtigungen behoben. Zum Beispiel würden Benutzer mit der Berechtigung view_charitable_sensitive_data, aber ohne die Berechtigung edit_campaigns, einen Link zur Seite Kampagnen im WordPress-Dashboard-Menü sehen, aber beim Klicken auf den Link abgewiesen werden. Das gleiche Problem bestand für die Seite Spenden für Benutzer ohne die Berechtigung edit_donations.

Was hat sich sonst noch in Charitable 1.6.39 geändert?

Die Sicherheitsfixes im Zusammenhang mit Berechtigungen waren nicht die einzigen Änderungen in Charitable 1.6.39. Eine Reihe anderer Fehler wurden behoben und eine kleine neue Funktion hinzugefügt:

• Neue Funktion: CSS-Klassen über den post_class-Filter hinzufügen, um Kampagnen anzusprechen, die ihr Spendenziel erreicht haben/nicht erreicht haben oder die beendet wurden/nicht beendet wurden. Issue #769
• Fix: Spendenquittung & Spendenbenachrichtigung wurden nicht gesendet, wenn eine Spende über die Meta-Box „Spendenaktionen“ als bezahlt markiert oder die Spende bearbeitet wurde. Issue #771
• Fix: Standard-Hintergrundfarbe Weiß zum Feld für den benutzerdefinierten Spendenbetrag hinzufügen, um Probleme zu vermeiden, bei denen Themes keine Farbe für das Eingabefeld bereitstellen. Issue #766
• Fix: Sicherstellen, dass alle Kampagnenfeldwerte korrekt ausgefüllt werden, wenn eine Entwurfs-Kampagne im WordPress-Dashboard angezeigt/bearbeitet wird. Issue #763

Erinnerung: Jetzt aktualisieren

Wenn Sie dies noch nicht getan haben, aktualisieren Sie Ihre Website bitte jetzt auf die neueste Version von Charitable.

Wenn Sie Probleme im Zusammenhang mit diesem Update feststellen, kontaktieren Sie uns bitte über unser Support-Formular.