WordPress 2.2.3 schließt Sicherheitslücken

13.09.2007 11:48 Uhr Dirk Knop

In Versionen vor WordPress 2.2.3 können Angreifer durch SQL-Injection-Lücken an Benutzerdaten gelangen. Außerdem können sie beliebigen HTML-Code in Beiträgen einschleusen.

Die Entwickler des quelloffenen Blog-Systems WordPress [1] haben die Version 2.2.3 der Software veröffentlicht und schließen darin zwei Sicherheitslücken. Angreifer können in vorhergehenden Versionen aus dem Netz über die XMLRPC-Schnittstelle durch das Übergeben von präparierten URLs SQL-Kommandos einschleusen und dadurch etwa an Zugangsdaten von Benutzern gelangen. Eine weitere Schwachstelle ermöglichte Angreifern, die eigentlich nur gefiltertes HTML absetzen dürfen, beliebigen HTML-Code in einem Beitrag mittels manipulierter HTTP-POST-Anfragen einzustellen.

Die weiteren Änderungen, die die Entwickler im Changelog zusammengetragen haben, beheben kleinere Fehler. Die Entwickler empfehlen Wordpress-Nutzern, auf die neue Version zu aktualisieren. Sie steht auf den Seiten des Projekts zum Download bereit.

Siehe dazu auch:

Remote SQL Injection in WordPress and WordPress MU [2], Sicherheitsmeldung von Alexander Concha
Users without unfiltered_html capability can post arbitrary html [3], Eintrag in der WordPress-Fehlerdatenbank
Liste [4] der behobenen Fehler in WordPress 2.2.3
Download [5] der aktuellen WordPress-Version

(dmk [6])

URL dieses Artikels:
https://www.heise.de/-174686

Links in diesem Artikel:
[1] http://wordpress.org/
[2] http://www.buayacorp.com/files/wordpress/wordpress-sql-injection-advisory.html
[3] http://trac.wordpress.org/ticket/4720
[4] http://trac.wordpress.org/query?status=closed&milestone=2.2.3
[5] http://wordpress.org/download/
[6] mailto:dmk@heise.de