WordPress stopft drei schwerwiegende Sicherheitslöcher

WordPress hat ein Sicherheitsupdate für das gleichnamige Content Management System veröffentlicht. Die Version 4.7.2 stopft drei gefährliche Löcher in der Version 4.7.1 und früher. WordPress-Websites, die auf einer der unsicheren Versionen basieren, sind unter anderem anfällig für Cross-Site-Scripting und SQL Injection.

Der erste Fehler wurde von David Herrera von Alley Interactive entdeckt. Die für die Veröffentlichung von Beiträgen im Browser zuständige Funktion „Press This“ öffnet unter Umständen den Dialog für die Zuordnung von Klassifizierungsbegriffen, obwohl der Nutzer nicht über die zur Einblendung des Dialogs erforderlichen Berechtigungen verfügt.

Zudem erlaubt die Funktion „WP-Query“, die für den Aufruf von Variablen und Funktionen im WordPress-Core benutzt wird, bei der Verarbeitung unsicherer Daten eine SQL Injection, also das Einschleusen von Datenbankbefehlen. Den Entwicklern zufolge ist der WordPress-Core jedoch nicht fehlerhaft. Der Patch soll demnach verhindern, dass „Plug-ins und Themen versehentlich“ WordPress angreifbar machen. Die Details zu dieser Schwachstelle stammen vom Sicherheitsforscher Mo Jangda.

Die Cross-Site-Scripting-Lücke wiederum steckt in der Funktion Posts List Table. Welche Auswirkungen die Schwachstelle haben kann, teilte WordPress nicht mit. Entdeckt wurde sie von Ian Dunn vom hauseigenen WordPress Security Team.

Das Update kann von der WordPress-Website oder über das Dashboard des CMS heruntergeladen werden. Sites, die für eine automatische Aktualisierung im Hintergrund konfiguriert wurden, sollen das Update auf die Version 4.7.2 bereits erhalten.

Die jetzt als unsicher eingestufte Version 4.7.1 hatten die Entwickler Anfang Januar freigegeben. Sie beseitigte insgesamt acht sicherheitsrelevante Bugs. Darunter war auch eine Anfälligkeit in PHP Mailer, die das Einschleusen und Ausführen von Schadcode ermöglichte. Die Entwickler stopften aber auch ein Datenleck und korrigierten mehrere Fehler, die Cross-Site-Scripting erlaubten.

[mit Material von Charlie Osborne, ZDNet.com