WordPress-Theme OneTone gefährdet tausende Webseiten

Das beliebte aber nicht mehr gepflegtes WordPress-Theme "OneTone" gefährdet aktuell tausende Webseiten. Es enthält eine Cross-Site-Scripting-Lücke, über die Angreifer Schadcode in die Webseiten einschleusen kann. Laut Blogeintrag soll das WordPress-Theme auf über 20.000 Webseiten aktiv sein. Mehrere Sicherheitsfirmen beobachten nun, dass die Angriffe seit einer Woche auf Webseiten mit diesem Theme stark zunehmen. Die Schwachstellen dazu sind seit September 2019 bekannt und haben folgende CVE-IDs:

• CVE-2019-17230
• CVE-2019-17231

Jeder User oder Admin, der das WordPress-Theme "OneTone" benutzt sollte daher so schnell wie möglich zu einem anderen Theme wechseln. Eine neue Version von "OneTone" wird es wohl nicht geben. Nach dem Wechsel sollte man sein WordPress nach Backdoor-Konten durchsuchen.

• Unauthenticated stored XSS vulnerability in WordPress OneTone theme (unpatched)