WordPress 2.2.3 schließt Sicherheitslücken

Die Entwickler des quelloffenen Blog-Systems WordPress haben die Version 2.2.3 der Software veröffentlicht und schließen darin zwei Sicherheitslücken. Angreifer können in vorhergehenden Versionen aus dem Netz über die XMLRPC-Schnittstelle durch das Übergeben von präparierten URLs SQL-Kommandos einschleusen und dadurch etwa an Zugangsdaten von Benutzern gelangen. Eine weitere Schwachstelle ermöglichte Angreifern, die eigentlich nur gefiltertes HTML absetzen dürfen, beliebigen HTML-Code in einem Beitrag mittels manipulierter HTTP-POST-Anfragen einzustellen.

Die weiteren Änderungen, die die Entwickler im Changelog zusammengetragen haben, beheben kleinere Fehler. Die Entwickler empfehlen Wordpress-Nutzern, auf die neue Version zu aktualisieren. Sie steht auf den Seiten des Projekts zum Download bereit.

Siehe dazu auch:

• Remote SQL Injection in WordPress and WordPress MU, Sicherheitsmeldung von Alexander Concha
• Users without unfiltered_html capability can post arbitrary html, Eintrag in der WordPress-Fehlerdatenbank
• Liste der behobenen Fehler in WordPress 2.2.3
• Download der aktuellen WordPress-Version

(dmk)