WordPress 6.2.1 Release mit Fixes für insges. 5 Sicherheitsrisiken

Zitat von suedtiroler

Blockiert die Themes, die Shortcodes in benutzergenerierten Daten analysieren;

Im Original heisst es:

Zitat

Block themes parsing shortcodes in user generated data

Und das bedeutet, dass in Block Themes ggf. vorhandene Shortcode Blöcke einfach nicht mehr funktionieren.

Das hat grosses Chaos ausgelöst, aktuelle Diskussion z.B. im WordPress Core Ticket #58333 (inkl. mit der heissen Nadel gestrickte Workarounds) oder hier im WordPress.org Support Forum.

Inzwischen gibt es auch einen Follow Up Artikel bei WP Tavern, der die aktuelle Problematik gut zusammenfasst: https://wptavern.com/wordpress-6-2-…block-templates

Von dem dort empfohlenen Rollback auf 6.2 würde ich abraten. Es hat schon seinen Grund wieso ein Sicherheitsfix veröffentlicht wurde ..

Hast Du mehr Informationen zu diesem "seinen Grund"? Was genau ist das technische Problem? Leider gibt es dazu derzeit keinerlei Angaben so dass eine Einordnung der Wichtigkeit dieses "Sicherheitsfixes" sehr schwer ist.

Und was wäre eine alternative Empfehlung für aktuell nicht mehr funktionierende WordPress 6.2.1 Websites mit Block Themes und Shortcodes? Offline gehen? Auf ein Classic Theme umstellen?

Der Grund ist weiterhin nicht öffentlich, wurde auch im gestrigen Slack-Dev-Chat nochmals erwähnt. Innerhalb des Security- und Editor-Teams wird derzeit das weitere Vorgehen besprochen, auch um eine möglicherweise Alternative Lösung für eine schnelle 6.2.2 zu finden.

Und aus genau diesem Grund müssten Betroffene noch etwas Geduld haben. Es lohnt sich imho nicht irgendetwas zu überstürzen. Ich würde eher die weiteren Entscheidungen abwarten. Denjenigen die daran beteiligt sind ist die Dringlichkeit durchaus bewusst.

Ich kenne btw. nicht ein einziges Projekt was betroffen ist und diejenigen die sich bis gestern im WordPress-Supportforum und Trac gemeldet hatten kann man auch an 2 Händen abzählen. Viele werden sich aber auch gar nicht melden oder gar nicht merken, dass sie betroffen sind ..

Im Ticket wurde der Grund für die Änderung inzwischen beschrieben. Der FSE hat bisher nach Zusammenstellung des gesamten Quellcodes der auszugebenden Seite die darin enthaltenen Shortcodes ausgeführt. Dadurch war es möglich, dass z.B. ein Kommentar zu einem Post einen Shortcode enthält der dann auch ausgeführt wurde. Das stellt das potentielle Sicherheitsrisiko dar. Bei Klassik-Themes passiert das nicht da dort Shortcodes nur bei Inhalten von dafür berechtigten Nutzern ausgeführt werden (z.B. vom post_content).

Lösungen wurden im Ticket auch schon angesprochen, aber keine davon ist wirklich gut geeignet imho. Man muss ohnehin darauf warten was das Sicherheits- und Editor-Team dazu veröffentlichen - was wohl "demnächst" passieren soll.

Zitat von threadi

Dadurch war es möglich, dass z.B. ein Kommentar zu einem Post einen Shortcode enthält der dann auch ausgeführt wurde. Das stellt das potentielle Sicherheitsrisiko dar.

Die einen betrachten es als Sicherheitsrisiko und ich als fehlende Funktion. Bei einer sinnvollen und erwünschten Diskussion ist meiner Meinung nach die Einbindung von Multimedia - Inhalten wünschenswert und notwendig.

Zitat

Der Begriff Multimedia bezeichnet Inhalte und Werke, die aus mehreren, meist digitalen, Medien bestehen können: Text, Fotografie, Grafik, Animation, Audio und Video.

https://de.wikipedia.org/wiki/Multimedia

Aber die Möglichkeit ist jetzt in 6.2.2 genommen. Wir nennen es Zukunft...

wie du schreibst, "alles fließt", dabei geht einiges den Bach runter, aber was solls, alle weden zwangsbeglückt ;-)
Dem WP-Team waren einfach zu viele Page-Builder-Nutzer ein Dorn im Auge - Weichen neu gestellt und schon beginnt die lustige Fahrt wie mit mit der WordPress-Geisterbahn, bei jeder Gelegenheit irgend ein Gespenst.