BloggingTom

Gemäss Secunia weist das WordPress Plugin WP-Stats eine Sicherheitslücke auf, die es Angreifern erlaubt, SQL-Code auf dem Server auszuführen:

Preddy has discovered a vulnerability in WP-Stats, which can be exploited by malicious people to conduct SQL injection attacks.

Input passed to the „author“ parameter in wp-stats.php isn’t properly sanitised before being used in a SQL query. This can be exploited to manipulate SQL queries by injecting arbitrary SQL code.

The vulnerability has been confirmed in version 2.0. Other versions may also be affected.

Da bisher kein Patch verfügbar ist, empfiehlt es sich, das Plugin zu deaktivieren.

[Update]
Und bereits gibts ein Update für das Plugin, welches die Lücke schliessen soll…

(via Weblog Tools Collection)

Nachdem Matt Akismet, seine zentralisierte Lösung zur Prüfung von Kommentarspam, vorgestellt hatte, konnte es nicht lange gehen, bis die ersten Plugins dazu geschrieben werden.

Ein für mich ganz interessantes ist „Spam Karma 2 Akismet Plugin“, welches derzeit noch im Beta-Stadium ist. Genaugenommen ist das Plugin ein „Plugin fürs Plugin“, denn es klinkt sich in Spam Karma 2 ein und lässt sich auf den Optionsseiten von Spam Karma 2 administrieren.
Liegt das von Spam Karma 2 vergegebene Karma zu einem Kommentar in einer (einstellbaren) Spanne, sendet das „Spam Karma 2 Akismet Plugin“ den Kommentar zur Verifizierung auch noch an Akismet, so dass die Wahrscheinlichkeit zur Vermeidung von Spam noch besser wird.

Sehr gelungene Idee, finde ich. Ich werde das darum in den nächsten Tagen selber in diesem Blog testen.

Kaum hat Matt den Blog-Hostingservice wordpress.com lanciert, folgt schon die nächste Idee: Mit Akismet, einer zentralen Lösung im Kampf gegen Kommentarspam. Mittels eines Plugins werden sämtliche Kommentare, Ping- und Trackbacks zuerst an den Akismet-Server geleitet, welcher die Kommentare nach allen möglichen Auffälligkeiten untersuchen soll.

Vorteil an dieser Lösung ist sicherlich, dass das System (hoffentlich) immer auf dem neusten Stand in Sachen Spam ist. Dazu trägt auch bei, dass das System von seinen Nutzern lernen und somit Spam recht effektiv erkennen soll.

Nachteil dieser Lösung ist einmal mehr die Zentralisierung, so dass es eher als bei dezentralisierten Diensten zu Problemen kommen kann (ein gutes Beispiel dazu ist sicher der Service von Gravatar.com, der in letzter Zeit wohl mehr steht als läuft). Zwar hat Matt auch da vorgesorgt: Ist das System überlastet oder down, werden die Kommentare einfach in die Moderationsschlaufe von WordPress geschoben und können vom Admin manuell freigegeben werden.

Um das Ganze aber spannend und „in the news“ zu halten, gibts das Ganze derzeit nur für Blogger, die bereits einen WordPress.com-Account haben, denn zum benötigten persönlichen API-Key kommt man nur auf den Admin-Seiten eines WordPress.com-Blogs. Wer also noch keinen solchen hat, dem bleiben zwei Möglichkeiten: Entweder auf WordPress.com einschreiben und auf ein Golden Ticket warten, oder sich Flock herunterladen. Mit dem Download bekommt man nämlich auch einen WordPress.com-Invite.

Nachdem ich in den letzten Wochen Pingbacks aus anderen Blogs vermisste, obwohl dort auf Posts hier verwiesen wurde, wurde ich misstrauisch. Und siehe da, Robert Basic berichtete mir via eMail vom gleichen Phänomen.

MacManX ging der Sache auf den Grund und nun ist zumindest klar, wo das Problem liegt: Bad Behavior 1.2.1 und 1.2.2 blocken als neues Feature alle Requests, welche einen leeren user-agent string enthalten. Und Pingbacks von WordPress Blogs enthalten tatsächlich einen leeren user-agent string. Somit verwehrte Bad Behavior in den letzten Wochen allen hier eingehenden Pingbacks den Zugriff.

Der grundsätzliche Ansatz von Bad Behavior ist zwar durchaus gut gemeint, aber im Nachhinein betrachtet doch etwas zu rigoros. Immer wieder mussten Updates des Plugins durchgeführt werden, da dieses einmal den MSN-Bot und dann wieder irgend jemand anders aussperrte. Das macht die Verwaltung des Plugins aber äusserst aufwendig und lässt einem immer wieder zweifeln, ob man vielleicht gerade wieder jemanden aussperrt.
Ich habe mich darum nach den ersten positiven Erfahrungen von Robert mit Spam Karma 2 entschlossen, diesem Plugin eine Chance zu geben. Immerhin werden mit Spam Karma 2 die Requests nicht von vorneherein verweigert und False-Positives lassen sich ohne Probleme zurückholen.

Für alle, die sich eine Installation von SpamKarma 2 überlegen, sei an dieser Stelle noch auf den Post von Thomas Schewe, „Bad Behavior blockt Spamkarma 2„, hingewiesen, welcher erklärt, wieso in den Optionen von Spam Karma 2 die Option TrackBack Referrer Check ausgeschaltet werden sollte.

So, und nun hoffe ich auf erfolgreiche Testwochen mit Spam Karma 2.

… war das Erste, was mir heute beim Abruf meiner Seiten aufgefallen ist. Ein kurzer Blick auf den Server zeigte denn auch eine Prozessorauslastung von 100%, welche der Apache– und MySQL-Dienst unter sich aufteilten. Das Error-Log des Apache zeigte denn auch seitenweise

PHP Warning: mysql_affected_rows(): A link to the server could not be established in wp-db.php on line 155

an, was an sich ja wirklich auf einen Fehler oder zumindest ein Problem hinwies. Da ich in den letzten Tagen nichts an den Konfigurationen gebastelt habe, fiel die Fehlersuche um so schwerer. Nach Rumpröbeln an den Apache- und MySQL-Konfigurationen dann endlich doch mal ein erleuchtender Einfall: Wieso nicht mal die WordPress-Plugins der Reihe nach deaktivieren?
Und siehe da, mit ausgeschaltetem Bad Behavior lief der Server auf einmal wieder rund. Aber um die Ehre von Bad Behavior zu retten: Schuld war nicht das Plugin selbst, sondern die dazugehörigen Datenbanktabellen. Wieso ist mir bis jetzt allerdings noch immer nicht klar, denn die Tabellen waren weder korrupt noch sonstwie beschädigt.

Lange Rede, kurzer Sinn: Bad Behavior-Tabellen gelöscht und schon läuft das Serverchen wieder auf Hochtouren 🙂

Inspiriert von Alps Artikel Besseres WordPress 1.5 Kommentarformular habe ich nun das Gravatar-Plugin integriert, so dass euer Gravatar in den Kommentaren angezeigt wird. Gravatare sind kleine Bildchen, die mit der eMail-Adresse des Kommentators „verbunden“ sind und mit dem Kommentar angezeigt werden.
Im Gegensatz zu Alps Integration zeige ich testweise auch ein Gravatar an, wenn der Kommentator kein Gravatar assoziiert hat. Je nach Lust und Laune werde ich das dann vielleicht mal noch ändern.

Noch kein Gravatar? Dann melde Dich kostenlos unter http://www.gravatar.com/signup.php an und erstelle Dir eines.

AOL hat offenbar das Winamp-Plugin „Output Stacker“ von seiner Website entfernt, welches u.a. für das Kopieren von Musik von napster.com benötigt wird (ich habe bereits am Mittwoch unter „Kostenlos 252 CD’s ’napstern‘“ darüber geschrieben). Wie heise.de nun berichtet, will AOL mit einem Patch der über die Auto-Update-Funktion installiert wird, das Abspielen DRM-geschützter WMA-Dateien vollständig abschalten. In einer späteren Winamp-Version soll dies dann wieder aktiviert werden, allerdings erst, wenn sichergestellt sei, das Plugins keine DRM-Streams mehr mitschneiden könnten.