kritisches Sicherheitsupdate für WordPress

Security Focus: WordPress is prone to a HTML-injection scripting vulnerability because the application fails to properly sanitize user-supplied input. Attacker-supplied HTML and script code would execute in the context of the affected site, potentially allowing the attacker to steal cookie-based authentication credentials or to control how the site is rendered to the user; other attacks are also possible. Versions prior to 2.0.6 are vulnerable to this issue.

dazu die Datei Templates.php im Ordner /WP-ADMIN/ nach Anleitung auf Bueltge.de bearbeiten oder die gefixte Datei gleich von der Originalquelle („Ziel Speichern Unter“..) und in den Folder Wp-Admin hochladen.

Hinweis von Fabian zu Bueltges Anleitung, die Datei händisch zu editieren: Achtung, die Anleitung auf bueltge.de ist nicht ganz korrekt. Laut dem verlinkten Changeset wird einfach eine Zeile ausgetauscht. Die Zeile mit wp_specialchars(get_file_description(basename($recent))) ist die korrigierte.

---

Neue Stellenangebote

		Praktikum Social Media & Veranstaltungsmanagement in der DB Akademie (w/m/d) Deutsche Bahn AG in Berlin
		Social Media Manager (m|w|d) Hymer in Bad Waldsee
		Social Media Creative Content Specialist (m/w/d) Lidl Personaldienstleistung GmbH in Bad Wimpfen

Alle Stellenanzeigen

---

via Bueltge.de

—————————————————————————–

und wer gleich ganz auf die brandneue 2.0.6 Version updaten möchte (siehe Beitrag von Matt Mullenweg), möge sich auf der offiziellen Homepage von WordPress bedienen.

* The aforementioned security fixes.
* HTML quicktags now work in Safari browsers.
* Comments are filtered to prevent them from messing up your blog layout.
* Compatibility with PHP/FastCGI setups.

For developers, there“€™s a new anti-XSS function called attribute_escape(), and a new filter called „€œquery“€? which allows you filter any SQL at runtime. (Which is pretty powerful.)