Kritische Sicherheitslücke in WordPress 2.11
Missi berichtet wieder einmal über Sicherheitsprobleme von WordPress, diesmal handelt es sich um die aktuelle Version 2.11.
Es handelt sich um ein durchaus sehr kritisches Problem, da die Suchfunktion von WordPress die Möglichkeit bietet, per SQL-Injection in der Datenbank herum zu pfuschen.
Idealerweise gibt es bereits eine (inofizielle) Korrektur dieses Fehlers, zu finden ist er hier. Die Änderungen sind in der Datei /wp-includes/query.php vorzunehmen. Wer mit dem diff nicht klar kommt oder sich Änderungen an den Dateien nicht zutraut, bei mir gibt es die bereits modifizierte Datei zum einfachen austauschen auf dem Server. Herunterladen, umbenennen in query.php und in den Ordner /wp-includes/ kopieren. Fertig. Und (vorerst) wieder sicherer…
Popularity: 1% [?]
7 Kommentare bisher »
Trackbacks/Pingbacks
-
Kritische Sicherheitslücke in WordPress 2.11…
Es gibt mal wieder einen Explit für WordPress welcher mit Hilfe der Suchfunktion einen SQL-Inject.
Einen Fix findet man hier.
Langsam finde ich das alles nimmer Lustig
[Via XSized]
…… -
Loch in WP 2.1.1 stopfen…
Metty berichtet über eine kritische Sicherheitslücke (mögliche SQL-Injections über die Suchfunktion) in WordPress 2.1.1, die jeder sogleich schließen sollte. Dabei wird ein Codeschnipsel in der wp-includes/query.php ersetzt. Wenn das jemandem zu …
-
[...] einige Bugs. Unter anderem ist auch der Fix für die vor ein paar Tagen bekannt gewordene Sicherheitslücke in der Suchfunktion enthalten, ich habe das gerade eben noch fix geprüft. Ein Fixpack von 2.1.1 auf 2.1.2 gibt es [...]
Danke.
Vlt. war es das ja schon was meine Büchse heute Nacht mal wieder zum totalversagen getrieben hat
Moin!
Bei mir funktioniert die bereits gepatchte query.php nich, mein WordPress spuckt danach nur noch den Quellcode der Datei selber aus.
Gruß
Markus
Twitter: XSized
sagte am 01.03.2007 um 10:36
Stimmen die Rechte der Datei?
Es besteht die Möglichkeit, dass die nun nicht mehr passen, das könnte ich mir angesichts dieser Beschreibung jedenfalls vorstellen. Sollte im FTP-Client sichtbar sein, ob die Attribute (und Rechte) der neuen Datei identisch mit denen der anderen Dateien im Verzeichnis sind.
Also ich habe es gerade nochmal probiert. Problem a) der Firefox und der Safari speichern die Datei nicht richtig auf der Platte ab und interpretieren die lustig und stellen den Code mit Highlight farbig da. Allerdings habe ich den Code dann rauskopiert und so in eine neue leere Datei gepackt, das hat aber auch nicht geholfen.
b) die Rechte sind die selben wie die der Originaldatei
Ich habe aber auch mal versucht die betroffenen Zeilen im Code selber auzutauschen, mit dem gleichen Fehler:
Parse error: syntax error, unexpected T_STRING in /www/htdocs/wordpress/wp-includes/query.php on line 768
Zeile 768 ist ja da, wo der neue Code steht. Nun ja. Ich denke, es wird eh bald einen Bugfix dafür geben.