Zwangsupdate für WordPress erschienen

Es behebt eine mittelschwere Sicherheitslücke am Tag ihrer Veröffentlichung. Als Autor klassifizierte Nutzer können sich damit höhere Rechte verschaffen. WordPress 3.0.2 behebt auch einen Whitelisting-Fehler und eine Cross-Site-Scripting-Anfälligkeit.

von Florian Kalenda und Ryan Naraine am 3. Dezember 2010 , 15:21 Uhr

Für das Blog-System WordPress ist ein Zwangsupdate erschienen. Es soll eine potentiell gefährliche Sicherheitslücke schließen.

Die Schwachstelle wurde als mittelschwer eingestuft. Sie könnte es einem als „Autor“ klassifizierten Anwender ermöglichen, weitere Zugriffs- und Bearbeitungsrechte zu erlangen. Die Herausgeber schreiben: „Sie sollten sofort updaten, selbst wenn Sie keine Anwender haben, denen Sie nicht vertrauen.“

Die Lücke hat Wladimir Kolesnikow gemeldet und erst mit Erscheinen des Updates bekannt gemacht. Ein „mandatory update“ (Zwangsupdate) ist eines, das frühere Versionen verbindlich ablöst. Anwender, die automatische Updates von WordPress deaktiviert haben, erhalten den neuen Code natürlich trotzdem nicht von selbst.

Das Update auf WordPress 3.0.2 behebt außerdem einen Fehler bei Whitelists für Trackback, durch die Spammer Sicherheitsmaßnahmen umgehen konnten. Auch ein kleineres Cross-Site-Scripting-Problem wurde abgestellt.

Die Nachfolgeversion WordPress 3.1 liegt seit Ende November als Beta vor.

Download: