WordPress MU Deutschland » Sicherheit

Sicherheitslücke in WordPress MU

Dennis Morhardt — Thu, 13 Mar 2008 07:29:09 +0000

Wie gestern im Forum bekannt wurde, enthalten die WordPress MU Versionen bis 1.3.3 eine Lücke, die es Spammer ermöglicht Text-Widgets mit Schad-JavaScript zu erstellen. In der aktuellen Entwicklerversion ist das Problem behoben, da es noch etwas zum Release dauert, gibt es folgende Anleitung zum Schutz einer vorhandenen Installation (Es wird die letzte WordPress MU Version 1.3.3 benötigt):

Eine neue schema.php aus dem WordPress MU Trac herunterladen und in wp-admin/includes packen. Dies behebt das Problem nun für alle neuen Blogs.
Jetzt muss ein WordPress MU Plugin heruntergeladen werden, damit auch alle anderen Blogs geupdatet werden. Die TXT-Datei in eine PHP-Datei umbenennen und in wp-content/mu-plugins packen.
Nun geht man in den Bereich “Upgrade” in der Site Admin und startet das Upgrade für alle Blogs. Ist das Abgeschlossen sind alle Blogs nun geschützt.

Leider gibt es noch keinen Weg schon vorhandenen JavaScript-Code in den Widgets zu entfernen. Es wird trotzdem empfohlen dieses Update einzuspielen! Bitte auch vorher ein Backup durchführen, damit es nicht zu Datenverlust kommen kann.

Bei Fragen nutzt bitte das Forum auf WordPress MU Deutschland, dort helfen wir euch bei Problemen mit dieser Lücke.

Weitere Details im englischen WPMU-Forum

RC1 der Version 1.2.4 im SVN veröffentlicht

Dennis Morhardt — Wed, 08 Aug 2007 11:37:04 +0000

Wie der Hauptentwickler von WordPress MU donncha im englischen Forum mitgeteilt hat, wird es von der Version 1.2.4 einen Release Candidate geben. In der neuen Version werden zu einem über 20 Bugs behoben und die Sicherheitslücke der Version 1.2.3 (WordPress 2.2.1) gefixt. Zudem wird der Entwicklungsstand der aktuellen WordPress 2.2.2 angeglichen. Dieser Release Candidate sollte nur zum Test installiert und nicht zum produktivem Einsatz genutzt werden. Laut donncha wird die fertige Version 1.2.4 morgen veröffentlicht, wenn keine weiteren Bugs vorliegen.

→ Download der Version 1.2.4 RC1 über den SVN
→ Download der Version 1.2.4 RC1 über Trac
→ Donncha’s Forumeintrag “1.2.4 Release Candidate 1 in SVN”

Sicherheitshinweis an alle WordPress MU Benutzer

Dennis Morhardt — Thu, 07 Jun 2007 20:08:01 +0000

Wie sich jetzt heraus gestellt hat gibt es in der Datei “xmlrpc.php” aller WordPress MU Versionen eine große Sicherheitslücke. Das englische Forum schreibt, dass es die Möglichkeit besteht über diesen Bug die “index.php” zu bearbeiten, sowie eine SQL Injection möglich ist. Vorgestern wurde jedoch eine Patch auf den SVN gestellt. Die Entwickler raten diese Datei sofort zu updaten. Einfach diese Datei mit der alten ersetzen.

→ Zur neusten Version der xmlrpc.php