Mehrere Schwachstellen in WordPress <= 2.8
Core Security berichtet über gleich mehrere Schwachstellen bei WordPress:
- in der admin.php werden z.B. die Zugriffsrechte nicht korrekt geprüft, so dass sich Plugins manipulieren lassen, unter anderem das PHP-IDS (Intrusion Detection System)
- das ‘Related Ways To Take Action’-Plugin hat XSS-Probleme, wodurch sich JavaScript-Code im Browser des Opfers ausführen lässt
- die Loginseite reagiert unterschiedlich auf verschiedene Kombinationen von falschen Namen/Passwörtern, wodurch sich evtl. Rückschlüsse ziehen lassen (was die Mailschnittstelle wohl beim Versenden neuer Passwörter ähnlich macht)
Betroffen sind WordPress Versionen bis 2.8, also auch die (noch) aktuelle. Zum Release der 2.8.1 soll das aber behoben sein, und das kann ja nicht mehr allzu lange dauern.
via heise
