Wordpress: Edit Comments Sicherheitslücke geschlossen

WordPress: Edit Comments Sicherheitslücke geschlossen

14. Juni 2007 von Michael | Wordpress

Vor wenigen Tagen berichtete ich von Sicherheitslücken im WordPress-Plugin Edit Comments.

Ich habe das Problem gefunden, als ich das Plugin für einen Kunden installierte und habe es dem Autor gemeldet, der daraufhin die Warnmeldung auf der Plugin-Seite einfügte. Allerdings habe ich ihm wenig später auch einen Fix geschickt, den er aber nicht eingebaut hat â€” vermutlich weil er keine Zeit zum Testen hat(te).

Alex bietet unter jal-edit-comments.phps eine modifizierte Version an, in der die Sicherheitslücken geschlossen sind und zudem ein paar Kleinigkeiten behoben wurden, die bei ihm Probleme verursachten. Zum Schluss schreibt er noch: Download auf eigene Gefahr und ohne Garantie! Im Zweifelsfall hilft diff.

Nachtrag:
Die Modifikation scheint jedoch nicht in WordPress 2.2 zu funktionieren, beim ersten Test erhalte ich die Fehlermeldung You aren’t allowed to edit this comment, either because you didn’t write it or you passed the 15 minute time limit. :(
Vielleicht findet sich ja noch ein Freiwilliger, in Jörn Kretzschmars Version, die auch unter WP2.2 funktioniert, die Sicherheitslücken ebenfalls zu schließen.

2 Trackbacks/Pings:

Neues WordPress-Plugin Edit Comments XT — Software Guide

Pingback vom 16. Juli 2007, 0:10

hatte ich vor wenigen Wochen wegen Sicherheitslücken berichtet, die dann wohl auch inoffiziell behoben wurden, allerdings ohne dass sich dies wohl jemand näher angesehen

WordPress Ticker (10) — Software Guide

Pingback vom 31. Juli 2007, 0:59

hatte ich vor wenigen Wochen wegen Sicherheitslücken berichtet, die dann wohl auch inoffiziell behoben wurden, allerdings ohne dass sich dies wohl jemand näher angesehen

5 Comments:

Alex

14. Juni 2007, 11:19

Oha, ich hatte es gar nicht getestet mit 2.2 (ich laufe weitestgehend noch auf 2.0.x, da ich es nicht so mit der Featuritis habe).

Ich habe den Sicherheitsfix auch auf Jörns Version angewendet.
Download: http://www.zirona.com/stuff/ja.....ecfix.phps

Ich habe es allerdings nicht getestet. Aber sollte eigentlich keine Probleme bereiten.

Die Sicherheitslücke besteht darin, dass der Autor einen GET-Parameter ungeprüft einmal in die SQL-Abfrage und einmal in die HTML-Ausgabe packt. Eine Kombi-SQL-Injection-Cross-Site-Scripting-Lücke gewissermaßen. ;-)

Die Änderungen spielen sich auf den Zeilen 52-56 ab:

$get_jal_edit_comments = (int)preg_replace(\'|[^0-9]|\', \'\', $_GET[\'jal_edit_comments\']);
	$jal_comment = $wpdb-&gt;get_row(\"SELECT comment_content, comment_author_IP, comment_date_gmt FROM $wpdb-&gt;comments WHERE comment_ID = \".$get_jal_edit_comments;
    $time_ago = time() - strtotime($jal_comment-&gt;comment_date_gmt . \' GMT\');
	echo \'&lt;p&gt;&lt;input type=\"hidden\" name=\"jal_edit_this\" value=\"\'.$get_jal_edit_comments.\'\" /&gt;&lt;/p&gt;\';

Alle anderen Benutzereingaben werden m.E. hinreichend gefiltert.

Falls es noch Probleme geben sollte, bitte nochmal melden.

Alex

14. Juni 2007, 11:21

Oha, da hat WordPress wohl ziemlich den Code verhauen… egal, steht ja alles in der Datei. (Funktion jal_edit_comment_init(), Zeile 2-6).

Alex

14. Juni 2007, 11:25

Hinweis (kann gleich gelöscht werden): Der obige Kommentar bezieht sich auf einen vorhergehenden Kommentar, der noch freizuschalten ist.

Alex

14. Juni 2007, 11:40

Urgs, gerade nochwas entdeckt: In Zeile 85 sollte

$location = $_SERVER[\'HTTP_REFERER\'];

durch

$location = strip_tags($_SERVER[\'HTTP_REFERER\']);

ersetzt werden.

(Pardon für’s Spamming…)

Achja, der Originalautor sucht ja einen neuen Maintainer. Vielleicht hat Jörn Lust, das offiziell zu übernehmen? Wäre vielleicht für alle das Beste.

Die Kommentarmöglichkeit ist derzeit für diesen Artikel ausgeschaltet.

Software Guide

Die besten Tipps, Anleitungen und Downloads

Ihre Werbung auf Software Guide