WP Security Problem
Anscheinend gibt es beim Einsatz von WordPress laut von Dr. Dave eine Sicherheitslücke, sofern man es erlaubt, dass sich fremde User selbstständig innerhalb von WordPress registrieren. Deswegen gibt es hier den Lesebefehl für alle betroffenen Administratoren – und bitte weitersagen! Ob etwas wahres dran ist, kann ich jedenfalls zur Zeit nicht beurteilen.
Nachtrag: Ein wichtiges Randdetail ist mir im Moment aufgefallen: Dr. Dave setzt WordPress 1.5.3-beta1 für sein Blog ein. Kann es also sein, dass es sich um den Fehler von vor ein paar Wochen handelt, der mit WordPress 2.0.3 behoben wurde?
Nachtrag 2: Tja… ich glaube mittlerweile wirklich, dass es schon durch das Update auf WP 2.0.3 behoben wurde. Und ja ich war gestern zu müde um richtig zu lesen – natürlich ist SK2 davon nicht betroffen, sondern WordPress selbst. Los, treibt die Sau durch’s Dorf zum Verspeisen auf dem Marktplatz! ;)
das ist der grund, warum man des englischen mächtig sein sollte, wenn man fremder leute nachrichten kolportieren möchte – das problem liegt nicht in SK2 (denn dann wäre es ja recht einfach dadurch zu schließen, SK2 vorerst zu deaktivieren), sondern in WP, und selbst in WP 2.1alpha kann man das Problem nachvollziehen – jedenfalls bin ich bei einer solchen code-untersuchung in der letzten WP2.1 nightly auf eine stelle gestoßen, die ich für die quelle des von DrDave geschilderten problems halte.
@Mike: Das mit dem „zu müde“ könnte eventuell stimmen und ist bei dem Wetter wohl auch keine Frage der Uhrzeit ;)
Aber letztendlich bleibt die Frage: Handelt es sich dabei um die „alte“ Sicherheitslücke und wurde sie wirklich behoben?
Wenn man sich die Überlegungen von CountZero ansieht (auch in dessen Blog), kommen Zweifel auf, ob das Problem wirklich gelöst wurde. Und man sollte nicht vergessen: Dr. Dave wird es sich vermutlich mindestens dreimal überlegt haben, ob er wirklich die „Bug“-Welle machen will…
Das ist wohl wahr. Ich würde mich davor hüten, über das Info-System eines Plugins einen Wirbel wie diesen zu machen, ohne wirklich handfeste / stichfeste Beweise zu haben. Dass diese natürlich nicht offengelegt sind, ist eine Frage der Sicherheit. ;)