Puur geluk als je WordPress-site nog niet overgenomen is

Overigens kun je ook om een andere reden vraagtekens zetten bij de gedegenheid van de aanpak van de ontwikkelaars van WordPress. De Fin Jouko Pynnonen, die het jongste lek ontdekte, wees het WordPress-ontwikkelteam naar eigen zeggen al november vorig jaar op het lek. Maar dat team kwam pas in actie toen Pynnonen van het weekend de publiciteit zocht.

Redactie AG ConnectMeer van deze auteur

De kwetsbaarheid ontstaat op het moment dat een WordPress-implementatie getrakteerd wordt op een heel lang commentaar, van meer dan 64 kilobyte. Dat kan de onderliggende MySQL-database niet aan; die kapt de rest gewoon af. Die actie van de database genereert HTML-code op de betreffende pagina van de website; een hacker kan daar gebruik van maken om code binnen te smokkelen waarmee hij de site kan overnemen als een ingelogde beheerder het commentaar bekijkt.

Het risico wordt enigszins beperkt doordat WordPress een reactie van een onbekende niet zonder meer publiceert. Een hacker moet er dus voor zorgen dat hij via een gewone reactie die door de beheerder wordt geaccepteerd, bij het cms 'bekend' raakt, voordat hij de WordPress-site zo'n lang commentaar kan toedienen.

Al eerder een vergelijkbaar probleem

Het is de tweede keer in korte tijd dat een probleem bekend wordt over de afstemming tussen WordPress en MySQL. Vorig jaar bleek Cedric van Broekhoven ook al een probleem gerapporteerd te hebben waarbij de ontwikkelaars van WordPress niet goed geanticipeerd hadden op de wijze waarop MySQL reageert op onverwachte input in commentaarvelden. Het dichten van dat lek kostte 14 maanden.

Deze keer bleek een oplossing sneller klaar. De jongste versie WordPress 4.2.1 lost het door Pynnonen gesignaleerde probleem op. Of daarmee ook alle problemen met merkwaardige tekens en afwijkende lengtes in invoervelden in WordPress zijn opgelost, staat nog te bezien.