Download Monitor mit über 80.000 Installationen: schwere Sicherheitslücke über präparierte Links

Michael Dobler

Autor Dr. Web

26. Okt. 2026

3 Min. Lesezeit

Mit einem präparierten Link konnten Angreifer bei Download Monitor fremde Skripte im Browser von Besuchern und Administratoren ausführen. Version 5.3.4 vom 9. Oktober schließt die schwere Sicherheitslücke, elf Tage später folgte das nächste Sicherheitsupdate. Laut wordpress.org laufen knapp 40 Prozent der Installationen noch auf Versionen vor 5.3.

Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügen

Preislisten, Handbücher und Whitepaper stellen Unternehmen mit dem Plugin Download Monitor zum Herunterladen bereit. Mehr als 80.000 aktive Installationen zählt wordpress.org (Stand 26. Oktober), entwickelt wird das Plugin von WP Chill.^[1] Die Schwachstellendatenbank WPScan veröffentlichte die Lücke am 22. Oktober, entdeckt hat den Fehler der Sicherheitsforscher Karthik Ramakrishnan.^[3]

Auf einen Blick

Das Wichtigste in Kürze

Version 5.3.4 schließt eine Lücke, die sich ohne Anmeldung über einen präparierten Link ausnutzen lässt (CVSS 3.1: 7,1 von 10, vergeben von WPScan).
Version 5.3.5 vom 20. Oktober behebt eine zweite Lücke, die nur Multisite-Netzwerke mit mehreren Websites in einer Installation betrifft.
Angriffe sind nicht bekannt, Einzelheiten will WPScan am 22. November veröffentlichen.

Wie funktioniert der Angriff über den Link?

Weißer Briefkasten mit Angelhaken und Hinweistext „Bitte klicken“ — Download Monitor vor Version 5.3.4 lädt externe Inhalte nach, ohne die Link-Herkunft zu prüfen. Dies ermöglicht XSS-Attacken durch manipulierte Links

Download Monitor lädt angeklickte Download-Links per JavaScript im Browser nach und zeigt einen Teil der nachgeladenen Inhalte direkt auf der Seite an. Vor Version 5.3.4 prüfte das Plugin laut WPScan nicht, ob der Link überhaupt zur eigenen Website gehört.^[3] Ein Angreifer ohne Konto kann so einen Link bauen, der Inhalte von einem fremden Server holt und als Skript auf der Website ausführt.

Voraussetzung ist ein Klick des Opfers auf den präparierten Link. Das eingeschleuste Skript läuft auf der Website selbst und hat damit die Rechte, die der angemeldete Nutzer dort besitzt. WPScan stuft den Schweregrad als hoch ein.

Warum muss Download Monitor so oft nachbessern?

Seit März hat die US-Schwachstellendatenbank NVD sechs Sicherheitslücken in Download Monitor veröffentlicht.^[5] Im Frühjahr ließen sich laut Wordfence ohne Anmeldung teure Bestellungen mit der Zahlung für einen billigen Artikel abschließen.^[6] Anfang Oktober veröffentlichte Wordfence eine Lücke, über die eine fremde Website Skripte in die Bearbeitungsmaske für Downloads schleusen konnte; Version 5.2.11 vom 28. September hatte sie bereits geschlossen.^[7]

Beide Skript-Lücken folgen demselben Muster: Der Programmcode im Browser übernahm Daten fremder Herkunft ungeprüft, einmal aus einem Link, einmal von einer anderen Website, die im Browser Inhalte übergab. Skripte ließen sich zuletzt auch über das Plugin Redirection for Contact Form 7 und über präparierte SVG-Grafiken in Elementor einschleusen. Von Karthik Ramakrishnan stammen auch mehrere Lücken im Spenden-Plugin GiveWP, die WPScan am 23. Oktober veröffentlichte.

Auf einer Version 5.3 liefen laut wordpress.org am 26. Oktober 46,5 Prozent der Installationen, darunter die anfälligen 5.3.0 bis 5.3.3. Knapp 40 Prozent nutzen noch ältere Versionen, rechnerisch mindestens 31.800 Websites, 6,6 Prozent sogar Version 4.4.^[1]

Download Monitor im Steckbrief

Reichweite, Schweregrad und Updates, Stand 26. Oktober 2026

80.000

aktive Installationen und mehr zählt wordpress.org

7,1

von 10 Punkten nach CVSS 3.1 vergab WPScan für die Lücke mit präparierten Links

39,8 %

der Installationen laufen auf Versionen vor 5.3

Sicherheitslücken in Download Monitor hat die NVD seit März veröffentlicht

Drei Sicherheitsupdates in 22 Tagen

28. September

Version 5.2.11

Schließt die Lücke, über die eine fremde Website Skripte in die Bearbeitungsmaske für Downloads schleusen konnte

9. Oktober

Version 5.3.4

Prüft, ob ein angeklickter Link zur eigenen Website gehört, und schließt die schwere Lücke

20. Oktober

Version 5.3.5

Behebt eine Lücke in Multisite-Netzwerken, über die Dateien außerhalb des Upload-Ordners abrufbar waren

22. November

Angriffsdetails

WPScan will dann zeigen, wie sich die Lücke mit präparierten Links ausnutzen lässt

Bei Download Monitor kam alle elf Tage ein Sicherheitsupdate, ohne automatische Updates hinkt jede Website mit dem Plugin hinterher.
Markus Seyfferth, Chefredakteur Dr. Web

Was sollten Betreiber jetzt tun?

Aktualisieren: Bringen Sie Download Monitor auf Version 5.3.5, Voraussetzung sind WordPress 6.4 und PHP 7.4.^[2]
Updates automatisieren: In WordPress schalten Sie automatische Updates für jedes Plugin einzeln ein, ab Werk ist die Funktion aus.^[8]
Netzwerke prüfen: Vor Version 5.3.5 konnten Administratoren einzelner Websites eines Multisite-Netzwerks Dateien außerhalb des Upload-Ordners öffentlich ausliefern.^[4] Kontrollieren Sie die freigegebenen Pfade.
Spuren suchen: Achten Sie auf unbekannte Administratorkonten und veränderte Downloads. Gerieten personenbezogene Daten in fremde Hände, gilt die Meldepflicht nach Art. 33 DSGVO binnen 72 Stunden.^[9]

Agenturen mit vielen Kundenwebsites gleichen die Plugin-Versionen zentral ab. Welche Lücken zuerst an der Reihe sind, sortiert der Dienst WP Triage, Grundregeln bündelt der Ratgeber zur WordPress-Sicherheit. Managed-Hoster aus dem WordPress-Hosting-Vergleich spielen Plugin-Updates teils automatisch ein.

FAQ: Download Monitor mit über 80.000 Installationen: schwere Sicherheitslücke über präparierte Links

Was ist Download Monitor?

Download Monitor ist ein kostenloses WordPress-Plugin von WP Chill, mit dem Website-Betreiber Dateien zum Herunterladen anbieten, Downloads zählen und den Zugriff steuern. Laut wordpress.org läuft das Plugin auf mehr als 80.000 Websites. Ein einfacher Shop für den Verkauf von Dateien per PayPal gehört ebenfalls dazu.

Welche Version von Download Monitor ist sicher?

Sicher ist nach dem Stand vom 26. Oktober 2026 Version 5.3.5 vom 20. Oktober. Die schwere Lücke mit präparierten Links schloss Version 5.3.4 vom 9. Oktober, die Lücke in der Bearbeitungsmaske für Downloads Version 5.2.11 vom 28. September. Ältere Versionen sollten Sie umgehend aktualisieren.

Wird die Sicherheitslücke in Download Monitor schon ausgenutzt?

Bis zum 26. Oktober 2026 sind keine Angriffe auf die neue Lücke bekannt. Die US-Behörde CISA führt die Lücke nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. WPScan will die Einzelheiten zur Ausnutzung am 22. November 2026 veröffentlichen, bis dahin sollte das Update eingespielt sein.

Was ist eine Reflected-XSS-Lücke?

Bei einer Reflected-XSS-Lücke gelangt Schadcode über einen präparierten Link in eine Webseite und läuft im Browser der Person, die den Link öffnet. Anders als bei Stored XSS speichert die Website den Code nicht dauerhaft, jeder Angriff braucht deshalb einen neuen Klick des Opfers.

Wie sehe ich, welche Plugin-Version installiert ist?

Die installierte Version zeigt WordPress im Backend unter Plugins, Installierte Plugins, direkt unter dem Namen des Plugins. Steht dort ein Hinweis auf eine neue Version, spielen Sie das Update mit einem Klick auf „Jetzt aktualisieren“ ein.