Zum Inhalt

Sicherheitslücke im WordPress-Kommentarsystem

Ich habs schon behoben:

Ich weiß nicht ob es an meinem WordPress liegt, aber die Sonderzeichen sehen mehr als seltsam aus.

In dem Blog-System WordPress wurden mehrere Sicherheitslücken entdeckt, die so genanntes Cross Site Scripting (XSS) und die Preisgabe interner Serverinformationen ermöglichen, wie aus einem Advisory einer Gruppe Namens Neo Security Team hervorgeht. Durch eine unzureichende Filterung der Kommentare lässt sich JavaScript-Code in diese einbetten, der nach ihrer Freischaltung auf den Rechnern der Besucher zur Ausführung kommt. Dies ist besonders kritisch bei WordPress-Installationen, auf denen keine Moderation erfolgt und Kommentare automatisch freigeschaltet werden. Ein unregistrierter Nutzer könnte sich auf diese Weise möglicherweise administrativen Zugang zum Blog verschaffen, wenn die manipulierten Kommentare von einem eingeloggten Administrator gelesen werden.

Heise

Vorgehensweise

Die Datei wp-comments-post.php öffnen und jeweils trim() durch htmlentities(trim()) ersetzen. Befindet sich 4× in dieser Datei, Zeile 21-24. Und so siehts dann aus:

$comment_author       = htmlentities(trim($_POST['author']));
$comment_author_email = htmlentities(trim($_POST['email']));
$comment_author_url   = htmlentities(trim($_POST['url']));
$comment_content      = htmlentities(trim($_POST['comment']));</code>
Published inWordpress

6 Comments

  1. […] Na Prima! Dieser WordPress-Blog gibt es erst seit einigen Stunden und schon muss ich etwas über Sicherheitslücken lesen. (siehe hier und hier). Es ist angeblich möglich über die Kommentarfunktion JavaScript-Code einzuschleusen. Haben die ihre Scripte nicht abgesichert? Da war ja meine alte Eigenentwicklung besser. Jedenfalls gibt es auch ein Hack dazu. Michel Balzer erklärt die Änderung sehr gut! […]

  2. Na toll! Und ich habe bin eben zu WordPress gewechselt!

  3. Tom S. Weber Tom S. Weber

    Danke für den guten Tipp!!

  4. Danke für die praktische Anleitung. Und als Gegenleistung ein kleiner Sonderzeichentest:
    ¡España!
    Funktioniert doch, oder?

  5. der_simon der_simon

    Kleiner Tipp wie es mit den Umlauten (jedenfalls bei mir) wieder funktioniert. :)

    Der Simon

Kommentare sind geschlossen.