kritisches Sicherheitsupdate für WordPress

Security Focus: WordPress is prone to a HTML-injection scripting vulnerability because the application fails to properly sanitize user-supplied input. Attacker-supplied HTML and script code would execute in the context of the affected site, potentially allowing the attacker to steal cookie-based authentication credentials or to control how the site is rendered to the user; other attacks are also possible. Versions prior to 2.0.6 are vulnerable to this issue.

dazu die Datei Templates.php im Ordner /WP-ADMIN/ nach Anleitung auf Bueltge.de bearbeiten oder die gefixte Datei gleich von der Originalquelle („Ziel Speichern Unter“..) und in den Folder Wp-Admin hochladen.

Hinweis von Fabian zu Bueltges Anleitung, die Datei händisch zu editieren: Achtung, die Anleitung auf bueltge.de ist nicht ganz korrekt. Laut dem verlinkten Changeset wird einfach eine Zeile ausgetauscht. Die Zeile mit wp_specialchars(get_file_description(basename($recent))) ist die korrigierte.

---

Neue Stellenangebote

		Social-Media-Redakteure (m/w/d) KNA-Katholische Nachrichten-Agentur GmbH in Bonn
		Social Media Manager (m/w/d) MHK Marketing Handel Kooperation GmbH & Co. Verbundgruppen Holding KG in Dreieich
		Praktikant Human Resources (m/w/d), Schwerpunkte Social Media und Employer Branding MÄURER & WIRTZ GmbH & Co. KG in Stolberg

Alle Stellenanzeigen

---

via Bueltge.de

—————————————————————————–

und wer gleich ganz auf die brandneue 2.0.6 Version updaten möchte (siehe Beitrag von Matt Mullenweg), möge sich auf der offiziellen Homepage von WordPress bedienen.

* The aforementioned security fixes.
* HTML quicktags now work in Safari browsers.
* Comments are filtered to prevent them from messing up your blog layout.
* Compatibility with PHP/FastCGI setups.

For developers, there“€™s a new anti-XSS function called attribute_escape(), and a new filter called „€œquery“€? which allows you filter any SQL at runtime. (Which is pretty powerful.)