WordPress 4.2.3 řeší zranitelnost XSS

Byla vydána verze 4.2.3 redakčního systému WordPress. Řešena je především kritická zranitelnost XSS. Anonymní uživatel může kompromitovat webové stránky.

23.7.2015 14:41 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[trekker.dk]

Podle zprávičky anonymní uživatel, podle odkazovaného článku "users with the Contributor or Author role". To mi nepřijde jako to samé...

[Ladislav Hagara]

Oznámení bylo aktualizováno, viz například VentureBeat.

[trekker.dk]

Tady píšou "anomous user", ale pak se odkazují na ten článek odkazovaný ve zprávičce, kde se o anonymous user nic nepíše...

[Lol Phirae]

Kristova noho. Prostě si tu děravou sračku opět zazáplatuj a nedumej nad nesmrtelností chrousta.

[chrono]

Problém je, že tá oprava pravdepodobne spôsobí veľa serverom problémy.

[Lol Phirae]

Určitě. Přinejmenším vybouchnou.

[Ladislav Hagara]

Nefunguje toho docela dost.

[kralyk z abclinuxu]

Kristova noho. Prostě si tu děravou sračku opět zazáplatuj a nedumej nad nesmrtelností chrousta.

No, anebo, lépe, přejít na něco jinýho. Moc nevidim motivaci používat WP v dnešní době...

[Lol Phirae]

Hmmm. Když vono to je z hlediska toho PHP ementálu tak nějak všechno na jedno brdo. Pravda, alternativy jsou obvykle poněkud míň rozežraný.

[trekker.dk]

Nedumám nad nesmrtelností chrousta, dumám nad tím, že zprávička zbytečně vyvolává paniku.

[chrono]

Vyzerá to ako problém s shortcode a teda ju môže zneužiť len ten, kto môže upravovať/pridávať články a/alebo stránky.

[KOLEGA]

Tak jsem rád, že jsem přešel na Joomlu ... Nevím jestli to je můj dojem, ale slova Wordpress a zranitelnost mi v poslední době zní jako synonyma ;)

[Michal]

Aktuální joomlu mi hacky už dvakrát. Wp nikdy. Počet webů: 50+.

[mirec]

WP v bývalej práci hackli mnoho krát. Riešilo sa to skoro denne. V súčasnom zamestnaní sa momentálne stavia väčšina webov na djangu / tornade.

[kralyk z abclinuxu]

Ono není špatný zvážit, jestli člověk skutečně potřebuje dynamicky generovaný web. Já to vyhodnotil tak, že na blog mi bohatě stačí Jekyll, a je vystaráno...

[Ladislav Hagara]

Changes to the Shortcode API

[2X4B-523P]

co je to proti tomu, kdyz automobilka musi stahovat prodana auta, kvuli chybe ohrozujici lidske zivoty?

[Tomáš2]

Chápu správně, že navrhuješ neřešit méně důležité problémy dokud existují ty důležité?

Je škoda, že na trhu po tolika letech není použitelný redakční systém, kterých bych snadno malým firmám jednotlivcům mohl nasadit, prioritou je jednoduchá a přehledná administrace. Wordpress je na tohle super, naučí se v něm skoro každý, jen ty náklady na něho výrazně omezují použití.

[2X4B-523P]

nechapes, jen naznacuji, ze vyreseni bezpecnostniho problemu na ukor funkcionality neni nic tak hrozneho jak se nekteri snazi naznacovat... v pripade tech automobilu to mohlo ovlivnit dovolene, sluzebni cesty, nakupy a podobne, ale nikomu se nic strasneho nestalo... navic pochybuji, ze ve wordpressu bezi nejake kriticke aplikace...

[chrono]

Čiže tá chyba vo Wordpress ohrozovala niekoho život (keď sa to porovnáva s tým problémom pri automobiloch)?

Každopádne v súvislosti s tou chybou by ma zaujímalo, aký dôvod mali, že v tom oznámení novej verzie nešpecifikovali, čo presne opravili a ako to môže ovplyvniť používateľov (aby sa prípadne mohli rozhodnúť tú verziu ignorovať, kým nevyriešia problémy, ktoré im tá oprava môže priniesť).