Sicherheitslücke in WordPress < 2.0.6

bueltge.de [by:ltge.de] wird von Frank Bültge geführt, administriert und gestaltet. Alle Inhalte sind persönlich von mir ausgewählt und erstellt, nach bestem Gewissen und Können, was die Möglichkeit von Fehlern nicht ausschließt.

Kommentare

  
  1. Martin sagt:

    Danke für den Hinweis auf die Sicherheitslücke.

    Ich verwende die WordPress 2.0.5 (de) Version. In der Datei templates.php steht in Zeile 114:

    echo "<li><a href='templates.php?file=" . wp_specialchars($recent, true) . "'>" . get_file_description(basename($recent)) . "</a></li>";

    Ist der Fehler behoben, wenn ich den Ausdruck

    get_file_description(basename($recent))

    durch

    wp_specialchars(get_file_description(basename($recent)))

    ersetze?

    Warum werden bei Deinem Beispiel zwei Listenpunkte ausgegeben?

  2. Steffen sagt:

    Danke für den Hinweis!

    Müsste es nicht in der letzten Zeile echo '</ol>'; heißen? echo ''; macht keinen Sinn...

  3. @Steffen: ja. muss es heisen - aber irgendwie schluckt mein Code-Plugin die vier Zeichen.

    @Martin: nein, reicht nicht, da charset auch übernommen werden muss.

  4. Fabian sagt:

    Es braucht nur die eine Zeile, die im Changeset (http://trac.wordpress.org/changeset/4665) grün markierte. Die rote ist die alte, falsche, die entfernt wurde.

  5. SORRY, Fehler behoben ! Erster Code zum Suchen, der Zweite zum ersetzen.
    Danke an Fabian!!!

  6. Enrique Bergemann sagt:

    Ich hatte gestern schon bei Michael Wöhrer auf einen aktuellen Artikel zu diesem Thema bei Heise Security hingewiesen, der über die Hintergründe der beiden Sicherheitslücken informiert:

    http://www.heise.de/security/news/meldung/83280

    Lieben Gruß: Enrique

  7. Danke Enrique, hatte es auch schon gelesen und den Hinweis bei Michael, von dir, habe ich auch gelesen. Wird sicher nicht der letze Hinweis sein, das gehört eben dazu.
    Liebe Grüsse

Trackbacks

  1. [...] Sicherheitslücke in WordPress [...]

  2. [...] Frank Bültge weist auf eine WordPress-Sicherheitslücke hin, die alle aktuellen WordPress-Versionen einschließlich 2.0.5 betrifft, wobei Frank schreibt, dass der Fehler auch in der 2.0.6 beta 1 nicht behoben ist. [...]

  3. Sicherheitslücke in WordPress < 2.0.6...

    Sicherheitsproblem bei WordPress

  4. [...] dazu die Datei Templates.php im Ordner /WP-ADMIN/ nach Anleitung auf Bueltge.de bearbeiten oder die gefixte Datei gleich downloaden (”Ziel Speichern Unter”.. nicht draufklicken…) und in den Folder Wp-Admin hochladen. [...]

  5. [...] Frank weist auf einen Patch für eine sicherheitsrelevante Lücke in WordPress hin. Die Änderung ist schnell gemacht. Im Ordner  wp-admin/ muss lediglich die Zeile 114 in der Datei templates.php geändert werden. [...]

  6. [...] Die freie Software WordPress, die auch dieses Blog einsetzt, ist in Version 2.0.6 erschienen und steht zum Download bereit. Bueltge.de hat dafür sogleich noch einen Patch parat, der zumindest dann angewendet werden sollte, will man mit dem Update bis auf die deutsche Version von 2.0.6 warten. von carsten um 15:45 | abgelegt in General, Freie Software, Deutschland Trackback URL | Comment RSS Feed Tag at del.icio.us | Incoming links [...]

  7. [...] Bei Robert, Frank Bültge und dem Security Focus war bereits davon zu lesen. Nun ist es offiziell. Es gibt ein kritisches Sicherheits-Update für WordPress. [...]

  8. [...] In der aktuellen WordPress Version 2.0.5 (ebenso in der Version 2.0.6. beta) wurde eine Sicherheitslücke gefunden. Mehr Informationen dazu direkt auf Security Focus. Wie die Lücke geschlossen werden kann, findet ihr auf bueltge.de. [...]

  9. [...] In der Weblog-Software WordPress wurde eine kritische Lücke gefunden. Wie sie zu beheben ist, kann hier bei bueltge.de oder hier bei WordPress.org nachgelesen werden. Die Datei templates.php im Verzeichnis wp-admin muss in einer Zeile geändert werden, um das Problem zu beheben. [...]

  10. [...] [via http://www.basicthinking.de] [via bueltge.de] [at http://www.securityfocus.com] geschrieben von Sven Wiesner in Meldungen Besser nach Themen in Blogs suchen: Google BlogsucheNeues aus den Google Laboren, über die Blogsuche unter http://blogsearch.google.de/ werden Keywords speziell in Blogein...Mit Crazy Egg Heatmap sehen wo geklickt wirdWo klickt der Besucher auf der Webseite besonders oft? Wo sind die Plätze mit der größten Aufmerksamkeit? Was bisher ...Payback Corporate startet als offenes ProjektDas Bonusprogramm PAYBACK startet mit einem Corporate Blog. Das Roll out Team besteht aus ausgewählten Trnd Mitgliedern... [...]

  11. [...] Das Problem ist fehlerhafter Code in der Datei templates.php (Ordner wp-admin), eine Kurzanleitung zum schließen der Lücke findet Ihr in diesem Beitrag. Ich empfehle, wirklich schnell Abhilfe zu schaffen, dass Problem ist schon seit ein paar Tagen bekannt und es existiert auch eine Beschreibung für einen Exploit. Eine neue WordPress-Version (2.06) ist mittlerweile ebenfalls verfügbar und beinhaltet bereits diesen Bugfix, wer aber lieber auf das deutsche Update warten möchte, sollte die oben verlinkten Änderungen unbedingt vornehmen oder zieht sich im WordPress-trac die geänderte templates.php. Tags: Security , wordpress , XSS [...]

  12. [...] Erstmals wurde auf das XSS Sicherheitsloch schon am 27ten Dezember 2006 hier von David Kierznowski hingewiesen - ich wurde erst heute bei Frank Bültge darauf aufmerksam, da mein Tellerrand leider bisher noch nix dazu mitgeteilt hat, schade eigentlich … [...]

  13. [...] Grund für die neue Version war eine Sicherheitslücke im System. [...]

  14. WordPress 2.0.6 verfügbar...

    Seit gestern steht die deutsche Version von WordPress 2.0.6 auf wordpress.de zum Download bereit. Ich würde jedem empfehlen, das Update durchzuführen, da mit Version 2.0.6 zwei Sicherheitslücken - von denen eine als kritisch eingestuft wird - gefixt...

  15. [...] Seit gestern ist das deutschsprachige Update auf WordPress 2.0.6 verfügbar. Neben einiger kleiner Neuerungen (HTML Quicktags für Safari, kosmetische Korrekturen im Adminbereich, Kompatibilität mit FastCGI verbessert) sind auch zwei kritische Sicherheitslücken geschlossen worden, die neue Version sollte daher baldmöglichst übernommen werden. Leider hat sich in Version 2.0.6 ein ärgerlicher Fehler bei der Auslieferung der RSS-Feeds mittels FeedBurner eingeschlichen. Bei Apache-Konfigurationen mit mod_php (weit verbreitet) kann es in einigen Fällen zu Fehlern bei FeedBurner kommen, wenn sich der Feedinhalt nicht geändert hat (304 - Not Modified). Neue Beiträge werden trotzdem korrekt ausgeliefert. Als Workaround kann eine geänderte Fassung der Datei wp-includes/functions.php eingespielt werden. Abgelegt unter Software, Webtechnik und Howto.  | Tags: software, update, wordpress. [...]

  16. WordPress 2.0.6 Update...

    A security update for wordpress has been released. It is advised to upgrade as it contains some security fixes. Details regarding the upgrade can be found here (wordpress development blog) and here (security focus).
    Source: bueltge.de respectively Tent...

  17. [...] Die letzten Tage wurden wieder ein paar Sicherheitslücken für WordPress bekannt. Das F!XMBR-Netzwerk hat gleich zu Anfang per Hack den schwerwiegensten Bug gefixt. Heute dann das kpl. Update auf WordPress 2.0.6. Changelog: [...]

  18. [...] Nach dem Hinweis von mzungus und by:ltge.de, Möchte ich auch nochmal auf den aktuellen Sicherheitspatch für WordPress hinweisen. [...]

  19. [...] Nach dem Hinweis von mzungus und by:ltge.de, Möchte ich auch nochmal auf den aktuellen Sicherheitspatch für WordPress hinweisen. [...]

© 2016, since 2005 bueltge.de [by:ltge.de] · Theme is built by ThemeShift