[WP 2.0.1] Sicherheitslücken im Blog-System Wordpress

Bin mir eigentlich sicher, dass es passt. Vorher hatte ich mal ein Komma vergessen, da war aber dann auch direkt alles lahmgelegt. Jetzt passiert nichts derartiges

$allowedtags = array ('a' => array ('href' => array (), 'title' => array ()), 'abbr' => array ('title' => array ()), 'acronym' => array ('title' => array ()), 'b' => array (), 'blockquote' => array ('cite' => array ()), 'img' => array ('alt' => array (), 'align' => array (), 'border' => array (), 'height' => array (), 'hspace' => array (), 'longdesc' => array (), 'vspace' => array (), 'src' => array (), 'width' => array ()),
   'br' => array(),
 'code' => array (),
   'del' => array('datetime' => array()),
  // 'dd' => array(),
  // 'dl' => array(),
  // 'dt' => array(),
 'em' => array (), 'i' => array (),
  // 'ins' => array('datetime' => array(), 'cite' => array()),
  // 'li' => array(),
  // 'ol' => array(),
   'p' => array(),
  // 'q' => array(),
 'strike' => array (), 'strong' => array (),
  // 'sub' => array(),
  // 'sup' => array(),
  // 'u' => array(),
  // 'ul' => array(),
 );

Danke nochmal. Aber es klappt nicht. Bei mir muss irgendwoanders der Wurm drin sein ...

Ich habs. Es liegt an einem Plugin. Textile2. Jetzt muss ich nur noch suchen, wo da der Haken sein könnte. Danke nochmal für die Hilfe bisher

Blogsysteme sind in der Regel unsicher

Hallo,
es ist ein Leichtes (vorausgesetzt man hat die Ambitionen dazu und die kriminelle Energie und ein wenig Technik-Know-How) in eine Standard-Wordpress-Installation (NEUSTE VERSION!) mittels einiger weniger nicht so bekannter MySQL-Befehle einzudringen und dann

- die komplette Installation,
- die Datenbak(en)
- Teile des/ u. U. den kompletten Server, oder
- Verzeichnisse, ...

zu lesen, zu ändern zu löschen etc.

Ich und einige Tester haben dies anhand der WP-Installation selbst getestet. Betroffen sind Blogsysteme, die auf PHP in Verbimndung mit MySQL-Tabellen / DB installiert sind (getestet Apache SuSe Linux). Noch einfacher wäre es bei einem MS-Server, btw.

Wie das geht, werde ich hierr nicht posten, aber wer mir ein "Probe-WP-Blog" zur Verfügung stellt, dem kann ich es vorführen.

Im Gegensattz zu Wordpress ist das bei Blogger nicht so ohne Weiteres möglcih - Google.

Es soll niemamndem der Spaß am Blog verdorben werden, jedoch müssten einige ihre Installation "sicherer" machen. Im Übrigen lief der Server in unseren Versuchen im SAFE-Mode, d.h. ohne die mod_rewrite Funktion.

Eine simple Eingabe über die "Kommentieren-Funktion" ermöglichte den Zugriff auf die DB. Wir finden dies erschreckend, zumal WP sich aufgrund seiner Beliebtheit zunehmend verbreitet.

Koch

Koch:

wenn du schon so einen wirbel darum machst könntest du auch gleich die lösung dazu posten!!

in der wp-comments-post.php folgendes in zeile 21 ändern:

$comment_author = trim($_POST['author']);
$comment_author_email = trim($_POST['email']);
$comment_author_url = trim($_POST['url']);
$comment_content = trim($_POST['comment']);

ändern in:

$comment_author = htmlentities(trim($_POST['author']));
$comment_author_email = htmlentities(trim($_POST['email']));
$comment_author_url = htmlentities(trim($_POST['url']));
$comment_content = htmlentities(trim($_POST['comment']));

achja und wenn wir schon dabei sind und da dies wohl mehrere betrifft hier auch noch die anderen sicherheitslücken:

Advisory 1
Advisory 2

achja und wegen dem denial of service exploit sollte man die user-registrierung einfach deaktivieren solange es kein update gibt...

...das Thema betrifft WP 2.0.1 und ist schon sowas von durch!

http://blog.wordpress-deutschland.org/2006/03/10/wor…ffentlicht.html

...bevor hier noch mehr Wirrungen auftreten schliesse ich das Themal. Entweder neues Thema aufmachen oder Mail an uns oder WP.org.