Explot für WP 2.2

olafson · 8. Juni 2007

bei Heise:
heise online - SQL-Injection-Lücke in Wordpress

beim Finder:
Wordpress 2.2 (xmlrpc.php) Remote SQL Injection Exploit

allerdings nur gefährlich für Blogs mit Anmeldung. Wenn man alleine postet, ist es wohl nicht sehr gefährlich.
Wenn man aber andere hat, so könnte ein Schreiber ohne große Probleme den Passworthash von sich nehmen, mit diesem den Passworthash des Admins überschreiben und sich mit seinem Passwort als Admin anmelden ...

Sozusagen eine Vertrauensfrage

Iunius · 8. Juni 2007

Sozusagen eine Vertrauensfrage ....
Klicke in dieses Feld, um es in vollständiger Größe anzuzeigen.

Richtig und man ja eigentlich niemanden vertrauen sollte, hier die aktuelle & korrigierte Version:
'.stripslashes($post_data['post_title']).'

Gefunden bei: WordPress › Support » Wordpress 2.2 (xmlrpc.php) Remote SQL Injection Exploit

Gruß

jottlieb · 8. Juni 2007

Exploit ist in 2.2.1 gefixed welches wohl in ca. einer Woche rauskommen dürfte.

pufaxx · 8. Juni 2007

Dank an Olafson für den Hinweis ...

Für so etwas müsste es mal einen "Update-Monitor" geben ...

Franky7 · 9. Juni 2007

huhu leute

thx für die info

Hamada · 12. Juni 2007

So wie ich das verstehe, muss man die xmlrpc.php austauschen und dann klappt es wieder mit dem Nachbarn? Geht das ohne Probleme bei der eingedeutschten Version?

Iunius · 12. Juni 2007

@Hamada, funktioniert ohne Probleme, da in der Datei nicht drinnen ist zum "eindeutschen".
Also einfach austauschen.

Gruß

WPDE.org

Explot für WP 2.2

olafson Well-Known Member

Iunius Well-Known Member

jottlieb Well-Known Member
Ehrenmitglied

pufaxx Well-Known Member

Franky7 New Member

Hamada Well-Known Member

Iunius Well-Known Member

Nützliche Suchen

Explot für WP 2.2

olafson Well-Known Member

Iunius Well-Known Member

jottlieb Well-Known Member Ehrenmitglied

pufaxx Well-Known Member

Franky7 New Member

Hamada Well-Known Member

Iunius Well-Known Member

jottlieb Well-Known Member
Ehrenmitglied