Die Zeiten ändern sich.
Dieser Beitrag scheint älter als 16 Jahre zu sein – eine lange Zeit im Internet. Der Inhalt ist vielleicht veraltet.
BlogSecurity weist auf eine Sicherheitslücke im Plugin von TextLinkAds hin.
Schon Michael empfand das Plugin als unseriös und berichtet im Artikel „Text Link Ads verliert Seriösität“ warum und wieso er dieser Meinung ist.
TLA wird von vielen WordPress Usern in der Form als Plugin genutzt, obwohl es unnötig ist. Das Script für den Zugriff auf die XML-Datei kann extra im Theme-Ordner abgelegt werden und mittels einer einfachen include-Anweisung eingebunden werden. Damit können zwar immer noch Lücken entstehen, aber der Zugriff auf die Datenbank ist nicht gegeben.
<?php include (TEMPLATEPATH . '/affiliate/tla.php'); ?>Wer also das Plugin im Einsatz hat - Sicherheitslücke schließen! BlogSecurity erklärt wie es geht.
Fix information:
The vulnerable code is found on line 512:
$postId = $postId;This variable is passed to $wpdb->get_results without being sanitised.
to fix this hole, simply change the above line to:
$postId = (int) $postId; /* FIXED */
Danke für den Hinweis. Benutze selber aber kein TextlinkAds und kenn es deshalb nicht 🙁
Ich bin etwas verwirrt ob dieser Security-Warnung von BlogSecurity. Die schreiben nämlich, die Version 1.1.1 wie auch die „aktuelle“ 1.1.3 sei davon betroffen. In einem meiner Blogs benutze ich das Plugin tatsächlich, das trägt aber die Versionsnummer 3.0.6.
Stellt sich die Frage, ob ich eine exotische „Spezialversion“ verwende, oder ob die Security-Warnung hoffnunglos veraltet ist…
Ich nutze dieses Plugin auch nicht. wozu soll es gut sein?
‚Please note I have verified that this vulnerability affects v3.0.8.. Please note, all plugins are likely affected before (15/Jan/08). DO NOT rely on the version numbers.‘