Sicherheitslücke lange bekannt und dennoch in 4.2

Zitat von SirEctor

Sind die Entwickler von WordPress so arrogant, oder warum reagiert man auf solch einen Hinweis nicht ?

Aksimet hilft z.B. Und die Jungs sind ja dran: http://wptavern.com/zero-day-xss-v…y-being-patched

Zitat von mensmaximus

Aksimet hilft

und Datenschutz in Europa ist uns egal?

http://blog.wpde.org/2011/04/20/aki…-notwendig.html

ist jetzt auch 4 jahre alt...

Zitat von r23

und Datenschutz in Europa ist uns egal?

Nein natürlich nicht. Aber das schließt die Verwendung ja nicht aus.

Zitat von mensmaximus

Nein natürlich nicht. Aber das schließt die Verwendung ja nicht aus.

Fakt ist: Wer Akismet ohne weitere Vorkehrungen einsetzt, begibt sich in die Gefahr, abgemahnt zu werden. Er tritt den Datenschutz der Besucher mit den Füßen und MUSS MIT einer Retourkutsche rechnen.

Zitat von der bereits verlinkten Seite:
Den Entwicklern des Plugins ist das Problem egal.

Ich denke, wir leiten einfach die Abmahnung an deine Adresse weiter, weil du das Plugin hier als Lösung vorschlägst.

Ja, XSS scheint ja ein sehr grosses Thema gerade zu sein! Und das betrifft bei weitem nicht nur WP.

Was ich aber nicht ganz nachvollziehen kann ist dieses Zitat aus dem Artikel von Golem:

"Mittels eines Kommentars kann ein Nutzer Javascript-Code auf der Seite unterbringen und damit beispielsweise den Zugang eines Administrators übernehmen."

Ich mein, wie das infizieren prinzipiell funktioniert ist mir klar - und auch wie man bei Besuchern der Seite damit Schaden anruchten kann. Aber, wie erlange ich mit einem einnfachen JS in den Kommentaren zu den Zugangsdaten des/eines Admins?

Das würde mich jetzt wirklich interessieren - weiss da jemand mehr von euch?
Oder hat dazu weiterführende Links?

LG, pixselig

Zitat von r23

Ich denke, wir leiten einfach die Abmahnung an deine Adresse weiter, weil du das Plugin hier als Lösung vorschlägst.

Was soll die Aussage? Ich habe Dir doch Recht gegeben. Wer es einsetzt muss halt in der Datenschutzerklärung darauf hinweisen. Wie bei Google Analytics, Piwik, Cookies und sonstigen Dingen auch. Wo ist also das Problem? Ich habe ja nicht gesagt man soll den Datenschutz über Bord werfen.

Zitat von pixselig

Das würde mich jetzt wirklich interessieren - weiss da jemand mehr von euch?
Oder hat dazu weiterführende Links?

Ich hatte den Link ganz oben schon gepostet: http://wptavern.com/zero-day-xss-v…y-being-patched

Im ersten Zitat auf der Seite ist es grob skizziert.

Ich denke wenn sie da schon dran sind sollten wir nun auch kein Stress machen,immerhin bringt dies nichts,dennoch schade um unsere schöne Privatsphäre...

Zitat von mensmaximus

Ich hatte den Link ganz oben schon gepostet: http://wptavern.com/zero-day-xss-v…y-being-patched

Im ersten Zitat auf der Seite ist es grob skizziert.

Danke mensmaximus, dass hätte ich schon gelesen, allerdings bin ich nicht ganz schlau geworden.

Nur mal so angenommen:
Standardmäßig ist das ausführen von JS direkt auf dem Server nicht möglich. D. h. das Kapern eines Admin Accounts ist nur über einen (Admin) Client möglich. Und hier auch nur wenn das Kommentar von selbigem aufgerufen wird. OK, in diesem Fall kann ich mir einen Session "Klau" vorstellen - aber das anlegen neuer Admins nur durch JS im Client?

Oder missverstehe ich da etwas grundlegendes?

LG, pixselig

Nur so um es zu Verstehen, kann es sein das es sich um diese Sicherheitslücke dreht?
https://wordpress.org/news/2015/04/wordpress-4-2-1/

Obwohl ich das auch irgendwie nicht so ganz verstehen kann, wie man mittels eines Javascript in den Kommentaren Zugang zu einem Blog bekommen kann.
Muss sagen Hacker können ja erschreckend erfinderisch sein.

klikki hat den Exploit sehr schön auf seiner Webseite beschrieben und ein Video davon gemacht: http://klikki.fi/adv/wordpress2.html

Zitat von SirEctor

Naja 4.2.1 ist ja jetzt draußen, aber witzig finde ich diesen offiziellen Satz:

Vor allem "A few hours ago"...

Ja, da kam mir auch der Gedanke der hier schon herum ging bezüglich Arroganz.

Zitat von 'Marcus[IS

;613891']Ja, da kam mir auch der Gedanke der hier schon herum ging bezüglich Arroganz.

Das glaube ich nicht. Das WP Entwickler Team hat bis dato immer sofort reagiert. Wir alle kennen nur die Aussage von Golem, das klikki angeblich versucht hätte seit November zu warnen. Das passt nicht damit zusammen, dass auf die von yoast entdeckt xss Lücke sofort reagiert und sogar ein koordiniertes Massenupdate durchgeführt wurde. Da ist einfach was schief gelaufen, denn das der CERT nicht reagiert ist quasi unmöglich.

Ich habe mal kurz geforscht und diesen Beitrag von klikki aus November 2014 gefunden: http://klikki.fi/adv/wordpress.html

Dort teilt er mit, dass er die WP Entwickler im September informiert hat. Entsprechend wurde reagiert und gepatched. Das bedeutet klikki wird ernst genommen und nicht ignoriert. Am Ende der Seite wird auch erwähnt dass die Entwickler Anfang November über eine ähnliche xss Lücke informiert wurden und Ende Januar 2015 ein Patch annonciert wurde.Warum also in diesem Fall keine Kommunikation statt fand kann nur das WP Entwickler Team beantworten.