Aktueller Bericht zur Sicherheit von WP Plugins

Die Namen der Kinder kennen wir ja hier schon zum Teil. Cache-Plugins, bei denen die Löcher hastig gestopft wurden, beliebte, externe Klassen, die in den Plugins und/oder Themes verwendet wurden/werden und so weiter.

Anyways - Wordpress wird in nicht allzu weiter Ferne von Ghost abgelöst. Zumindest, was das Thema Blogging betrifft. Bin ich von überzeugt und werde ich 100% unterstützen.

Wordpress muss einen Richtungswechsel vollziehen. Wohin? Entweder liefere ich ein funktionales _und_ sicheres WCMS oder ich konzentriere mich auf das Bloggen. Dementsprechend richte ich meine API aus und entferne endgültig den Spaghetti-Mist aus den Themes. Die Möglichkeiten sind vorhanden, aber Attitude und sein "Head of Bug Creation" schraubt weiter an dem Stückwerk und bekommt nicht mal die überfällige Version 3.6 vom Ast.

Das Thema Plugins... nein, dazu muss und kann man eigentlich nichts schreiben. Mit schlechtem Code haben auch andere Plattformen zu kämpfen. Wenn ich aber einen Aufwand X betreibe, um meine Installation/en vor Attacken zu "härten" (Hardening), dann kann es nicht sein, dass ein Plugin sämtliche Bestrebungen vollkommen zunichte macht.

Und da ist dann wieder mein aktuelles Lieblingsthema: defensives Programmieren ist heute ein MUSS. Im Laufe der Jahre wurde die API aufgrund neuer und wiederkehrender Lücken "aufgerüstet", aber kaum einer der Plugin-Autoren nutzt sie. Zu faul? Unwissend? Keine Ahnung...

Beispiele?
Datenvalidierung scheint allgemein ein Fremdwort zu sein. Man nimmt alles entgegen und Feuer frei. KSES wird den wenigsten Autoren etwas sagen. Etwas bekannter sind dann die Text-String-Funktionen bzw. Attributwerte. esc_html oder sanitize_text_fields findet man häufiger in den Plugins, esc_attr wird als "Alleskönner" verwendet. Prima.

Ganz schlimm wird es aber bei der Kommunikation mit der Datenbank. Die $wpdb-Klasse basiert auf ez_SQL und wurde um einige nützliche Funktionen ergänzt. Und die Wesentlichste ist $wpdb->prepare. Kaum ein Plugin verwendet diesen Minimalschutz - noch nicht einmal an den kritischen Stellen (Benutzerinteraktion). CSS und SQL-Injection olé. SELECT LIKE queries finde ich da besonders HOT. :D

Zum Schluss dann noch die teilweise gänzlich fehlende Sanitization (soll ich lieber Bereinigung schreiben?) der Daten.

Ich mein, vor mehr als einer Dekade hat man mühevoll Validierungsklassen gestrickt, verbessert, optimiert. Hier ist ein System mit einer API, wo es für jeden denkbaren Furz Kontrollmethoden gibt, aber keiner nutzt sie.

Konsens:
So lange sich die Mühlen nicht grundlegend bewegen, wird das System so krank bleiben, wie es ist. Natürlich schafft eine Überarbeitung der API, der Theme-Struktur und ggf. der Cores Inkompatibilitäten. Das macht Wellen ohne Ende.

Wordpress ist gut. Zum Bloggen. Für einfach strukturierte Webseiten. Kein Thema. Aber in sicherheitskritischen Bereichen ein absolutes No-Go.