Die freie Blogsoftware WordPress erfährt mit 2.6.2 ein Sicherheitsupdate.
Entdeckt hat die Sicherheitslücken Stefan Esser. Sie bestehen zum einen aus einer SQL-Column-Truncation und zum anderen aus einer Schwachstelle in der Funktion “mt_rand()”. Insbesondere bei Blogs mit offener Registrierung kommen die Probleme zum Tragen. Ein Update sei bei solchen WordPress-Blogs dringend angeraten.
Wie die Entwickler in der Ankündigung wissen lassen, ist es möglich, durch einen speziell gestalteten Benutzernamen das Passwort eines anderen Accounts zurückzusetzen. Was allein gesehen für den betroffenen Benutzer nur ärgerlich ist, wird in Verbindung mit der zweiten Lücke zum Risiko, weil dadurch das zufällig generierte neue Passwort vorhersagbar wird. Details will der Entdecker der Lücke demnächst veröffentlichen, möglicherweise sind auch andere PHP-Programme betroffen, heißt es. Wie das Projekt auf seinen Webseiten mitteilt, schaffen sowohl ein Patch als auch die neue Version Abhilfe. Letztere bringt noch zusätzliche Fehlerkorrekturen.
