Software-update: WordPress 2.8.4

Woensdag is versie 2.8.4 van WordPress uitgebracht. Met dit programma, dat onder de gpl-licentie beschikbaar gesteld wordt, is het mogelijk een weblog op te zetten en bij te houden. WordPress kan naar eigen zeggen binnen vijf minuten draaien, mits er al een server met php en MySQL beschikbaar is. Naast bloggen is het ook mogelijk om de functionaliteit van WordPress verder uit te breiden en het uiterlijk door middel van plugins en themes aan te passen. Versie 2.8.4 is uitgebracht om een beveiligingsprobleem te verhelpen:

WordPress 2.8.4: Security Release

Yesterday a vulnerability was discovered: a specially crafted URL could be requested that would allow an attacker to bypass a security check to verify a user requested a password reset. As a result, the first account without a key in the database (usually the admin account) would have its password reset and a new password would be emailed to the account owner. This doesn’t allow remote access, but it is very annoying.

We fixed this problem last night and have been testing the fixes and looking for other problems since then. Version 2.8.4 which fixes all known problems is now available for download and is highly recommended for all users of WordPress.

Versienummer	2.8.4
Releasestatus	Final
Besturingssystemen	Scripttaal
Website	WordPress
Download	http://wordpress.org/download/
Bestandsgrootte	2,24MB
Licentietype	GPL

Reacties (9)

[Eriky]

Wordpress is al ontzettend gebruiksvriendelijk (vanuit een webmaster perspectief), maar het zou helemaal geweldig zijn als het dit soort security updates automatisch kon doen! Het is natuurlijk een risico want je moet dan in veel gevallen een ftp wachtwoord opslaan, maar daar zijn vast oplossingen voor te verzinnen.

[Ramoonus]

de ingebouwde updater werkt dmv 1 druk op de knop!

[plofkip]

Ja dat klopt, maar je moet wel telkens actie ondernemen.
Stel dat er een ernstig lek wordt gevonden terwijl je op vakantie bent, dan zou het fijn zijn als die update automatisch geïnstalleerd wordt.

[Ram0n]

Heb je dit als feature request o.i.d. ingediend bij de makers? Je idee is leuk, maar als je er enkel hier om vraagt is de kans natuurlijk wel heel erg klein dat ze naar je luisteren. Dus stuur ze een mail zou ik zeggen.

Overigens is het wel een feature waar ik zelf geen gebruik van wil maken, het updaten van dit soort pakketten is toch iets waar ik zelf bij wil zijn.

[Swelson]

Nou liever niet. Lijkt me nogal stom om anderen toegang te geven hiertoe. De makers van Wordpress zouden zo in één klap honderduizenden websites om zeep kunnen helpen die deze functie aan zouden hebben staan.

Nee, laat mij liever maar lekker keer even mijn ftp gegevens invullen en op de knop drukken.

De kans dat een lek binnen enkele weken wordt gebruikt om net jouw site te hacken si trouwens ook erg klein.

[Ramoonus]

er is dacht ik wel een plugin die dat doet

[Rob Coops]

Uiteindelijk roept de druk op de knop een PHP scriptje aan dat de rest van de taken onderneemt als er naast de druk op de knop geen verdere actie van de admin nodig is, is het dus een koud kunstje om even een php scriptje te maken dat je van uit cron start bijvoorbeeld dat niets anders doet dan de zelfde functie aanroepen die de druk op de knop ook doet.

Natuurlijk zal er vast al wel iemand op dat idee gekomen zijn alleen zijn er zo ontzettend veel nadelen te bedenken zeker als je bijvoorbeeld gebruik maakt integratie met andere pakketten of plugins die mogelijk niet meer kunnen werken door een update etc...

Voor een persoonlijke site waar niemand anders dan een vriendin en je moeder eens per week eens op kijken, omdat je dat zo leuk vind, is het geen probleem maar als je een flinke site hebt waar tientallen zo niet honderden mensen per dag op kijken dan kan zelfs een uurtje down time al best vervelend zijn.

[Urshurak]

Goed idee! (Geldt dan natuurlijk ook voor Joomla e.d.) Hoe vaak komt 't niet voor dat onbekwame (ongeïnteresseerde) mensen een door anderen opgezette website 'beheren' en nooit van zijn levensdagen de CMS updaten? Gelukkig zijn er hostingbedrijven die hun klanten op de hoogte stellen van updates, maar een automatisch updatende CMS of blog zou natuurlijk beter zijn voor de veiligheid.

[MauvL]

Er kleeft altijd een risico aan zo'n automatische update, simpelweg omdat plugins (en soms ook thema's) vervolgens zorgen voor een onbruikbare cms.
Het is niet voor niets dat WP adviseert om een volledige backup te maken en tijdelijk alle plugins deactiveert voordat je een upgrade uitvoert.