Es ist im eigentlichen Sinne kein Sicherheitsproblem, denn das Blog selbst wird dadurch nicht angegriffen, aber doch eine Schwachstelle, mit der unbedarfte Internetnetnutzer getäuscht werden können:
http://blog.wordpress-deutschland.org/wp-pass.php?_w…//193.99.144.80
Ein Link auf Wordpress-Deutschland, da kann man ruhig mal draufklicken. Nur landet man dann ganz woanders.
Nachtrag: Da nun bei WPD Wordpress 2.3.x läuft, funktioniert diese weiterleitung nicht mehr. Als Beispiel muß jetzt erstmal jemand anderes herhalten:
http://bildblog.de/wp-pass.php?_w…//193.99.144.80
Das Problem ist seit etwa 3 Monaten bekannt und wurde in Version 2.3 auch behoben. Wer aber nicht auf Version 2.3 updaten will oder kann, dessen Blog könnte dazu mißbraucht werden, für irgendwelche dubiosen Seiten den Redirector zu spielen, damit das eigentliche Ziel verschleiert wird.
Die wp-pass.php ist eigentlich dafür zuständig, bei passwortgeschützten Artikeln das Passwort entgegenzunehmen, in ein Cookie zu schreiben und den Nutzer auf die aufrufende Seite zurückzuschicken.
Folgende Problemlösungen, außer dem Update auf 2.3, sind denkbar:
- Falls man sowieso keine passwortgeschützten Artikel hat, kann man einfach die wp-pass.php im Blogverzeichnis umbenennen oder löschen.
- Man installiert ein Plugin, welches die in WP 2.3 verwendete, sichere Redirectfunktion in älteren Versionen nachrüstet (siehe unten)
Getestet habe ich das Plugin mit Wordpress 2.0.11 und 2.2.3, es dürfte vermutlich mit allen 2er Versionen laufen.
Gruß
Ingo