Sicherheitslücke bei WordPress-Themes
Der renommierte Sicherheitsexperte fukami hat wieder einmal ein XSS – Sicherheitsproblem gefunden. Er weist darauf hin, dass eine kürzlich gefundene Sicherheitslücke in WordPress auch für viele selbstgebaute WordPress-Themes gilt. Augenscheinlich ist der selbe oder zumindest ein ähnlicher Exploit auch bei Antville möglich.
Der schnellste Fix für das konkrete Problem: An allen Stellen in den Templates “<?php echo $_SERVER['PHP_SELF']; ?>” durch “<?php echo htmlspecialchars($_SERVER['PHP_SELF']); ?>” ersetzen.
Normalerweise sollte diese Massnahme ausreichen – nachdem die Welt der WordPress-Themes aber eine ausgesprochen komplexe ist, bitte vorher ein Backup der Themes machen, und nachher prüfen, ob alles noch funktioniert wie es sollte. Bei Antville dürfte die Fehlerbehebung ähnlich sein.
Der konkrete Exploit funktioniert nur, wenn WordPress eine eigene “404 Template” benutzt, allerdings ist die Korrektur in jedem Fall empfehlenswert. Ideal wäre auch hier natürlich, sich generell an den Grundsatz zu halten, keinerlei Daten ungeprüft vom Benutzer anzunehmen – aber das wird wohl auf lange Zeit leider ein frommer Wunsch bleiben.
Mehr zu XSS bzw Cross-Site-Scripting bei wikipedia.
(Autor: fh)
Ich kenn die Sicherheitslöcher meiner eigenen Blogsoftware nicht. Es gibt bestimmt welche aber ich werde nie kapieren, was PHP-Code in Templates zu suchen hat.
Lieber eine neue Skriptsprache (z.B. Smarty) erfinden, die per Scriptsprache (PHP) interpretiert wird.
Wenn man es richtig macht, spricht gegen PHP in Themes gar nichts.
Und ich dachte, es wäre langsam mal gut mit XSS Lücken in WordPress…
Eine lustige Liste ist im 'verfaschungsschutzbericht0x73' ;-)
Danke für den Hinweis!
Wie? Wat soll denn "(Autor: fh)"? Skandaaaaaaaaaaaaaaal…
"der renommierte Sicherheitsexperte" lol seit wann das?
antville setzt doch gar nicht auf php?!
@5: Eh, wie meinen?
@7, FH
Verwunderung darüber, ob die Urlaubsvertretung noch nicht vorbei ist.
@9: Achso. :) Ja, die ist vorbei – aber ich hab mir natürlich vorher die Posting-Genehmigung von Udo eingeholt.
PHP – äh, wo steht das in meinem Schönfelder?
@1: PHP ist per se eine Programmiersprache innerhalb von Templates. Erst mit den höheren Versionen von PHP wurde es en vogue plötzlich Ausgabe und Datenverarbeitung zu trennen.
@11, Max Murke:
En vogue und praktischer ist es auch. Find ich… Klar, erzeugt wohl zusätzlichen Overhead aber egal.
law blog – äh worum gehts gerade? – Juristerei? Sícherheit? schon wieder Schäuble?
muß man glaub ich alles nicht unbedingt verstehen … …