2. Februar 2017 | 10:28 Uhr

WordPress Schwachstelle: Content Injection Vulnerability

Wie bereits berichtet: WordPress ist zu einer Eierlegenden Wollmilchsau geworden. Die in WordPress 4.7.0 per default aktivierte REST API erlaubt durch eine Lücke das Ändern von Inhalten – Remote! Es gilt auch weiterhin: Wer WordPress einigermaßen sicher nutzen möchte, der sollte sich nicht auf die Entwickler und die immer neu eingebauten Funktionen verlassen. Präventiv habe ich daher unmittelbar nach Erscheinen der Version 4.7.0 aufgezeigt, wie sich die REST API für nicht authentifizierte Nutzer sperren lässt. Das Code-Snippet für die functions.php:

// Returning an authentication error if a user who is not logged in tries to query the REST API
add_filter( 'rest_authentication_errors', function( $access ) {
   if( ! is_user_logged_in() ) {
      return new WP_Error( 'rest_API_cannot_access', __( 'Only authenticated users can access the REST API.', 'disable-json-api' ), array( 'status' => rest_authorization_required_code() ) );
   }
return $access; 
});

Hinweis: In Version 4.7.2 wurde die Lücke geschlossen. Ich rate dennoch zum Einbau des Code-Snippets. Sicher ist sicher.

Du kannst den Blog aktiv unterstützen! Mitmachen ➡