Af Torben B. Sørensen, 01/11/17
En sårbarhed i WordPress kan føre til SQL-indsætning. Fejlen ligger i funktionen $wpdb->prepare().
Selve WordPress er ikke direkte sårbar, men plugins og temaer kan være det.
Sårbarheden er en variant af en sårbarhed, som udviklerne forsøgte at fjerne med WordPress 4.8.2. Men sikkerhedsforsker Anthony Ferrara opdagede, at rettelsen ikke var effektiv.
Han oplyser, at den nye rettelse fjerner alle de muligheder for at udnytte sårbarheden, han har kunnet finde. Det ville være mere effektivt at rette selve den underliggende sårbarhed, men det vil være meget komplekst og tidkrævende.
Den rettede version er WordPress 4.8.3. Hvis man anvender plugins, der har deres egen implementering af $wpdb, skal de også opdateres.
Anbefaling
Opdater til WordPress 4.8.3. Opdater eventuelle plugins, der ikke bruger WordPress' udgave af $wpdb. Det kan fx være HyperDB og LudicrousDB.
Links
- WordPress 4.8.3 Security Release
- Disclosure: WordPress WPDB SQL Injection – Background, blogindlæg af Anthony Ferrara
- Disclosure: WordPress WPDB SQL Injection - Technical, blogindlæg af Anthony Ferrara
- Serious SQL Injection Flaw Patched in WordPress, artikel fra SecurityWeek
- If your websites use WordPress, put down that coffee and upgrade to 4.8.3. Thank us later, artikel fra The Register