GSOC

Tänkte bara skriva upp en liten snippet för att hitta och ersätta saker i wordpress inlägg.

Snippet:

UPDATE wordpress SET wp_posts = replace(wp_posts,”wordpress 3.0″,”wordpress 3.1″);

Nedan kommer en snippet för att ta bort taggar som inte förekommer i mer än 2 poster, kan säkert vara användbart i framtiden.

$arg = array('offset' => 0, ‘number’ => 0, ‘hide_empty’ => 0);
$nuffer=’2′; //Ta bort taggar med mindre antal poster än detta nummer
$taggar = get_terms( ‘post_tag’, $arg );
$antal_taggar = 0;
foreach ($taggar as $tagg) {
if ($tagg->count < $nuffer) {
wp_delete_term($tagg->term_id,’post_tag’);
echo ”” . $tagg->name . ” [Removed]

”;
$antal_taggar++;
}
}
echo $antal_taggar . ” borttagna.”;
?>

Nu har några av buggarna som hittats i WordPress 2.9 fixats i WordPress 2.9.1.

Här nedan kommer listan över vad som fixats i denna version

#11560 Update-core.php small validation fix. enhancement low Validation 2.9
#11488 Rotate counter-clockwise tooltip in ”Edit Media” is spelt incorrectly defect (bug) normal Media 2.9
#11492 Lack of escaping in _wp_comment_row() defect (bug) normal Administration 2.9
#11499 curl_setopt() In Feed Options? defect (bug) normal Feeds 2.9
#11502 Some buttons have gone square in 2.9 azaozz defect (bug) normal UI 2.9
#11509 sanitize_user_object() throws fatal error on user property objects ryan defect (bug) normal Users 2.9
#11518 Fatal error: Call to undefined method WP_Error::__destruct() defect (bug) normal Administration 2.9
#11525 Plugin Compatibility Fails to Consider Future RC Versions westi defect (bug) normal Upgrade/Install 2.9
#11528 sanitize_text_field() issue with UTF-8 characters defect (bug) normal Formatting 2.9
#11536 Rotate image buttons don’t show up on PHP installs without imagerotate() defect (bug) normal Editor 2.9
#11537 Warning: Cannot modify header information… in class-json.php Viper007Bond defect (bug) normal Warnings/Notices 2.9
#11551 Increase download timeout defect (bug) normal Upgrade/Install 2.9
#11558 timezone reset defect (bug) normal Date/Time 2.9
#11582 Code editor bug in Safari defect (bug) normal Editor 2.9
#11627 parts of metadata API fail on user metadata defect (bug) normal General 2.9
#11638 update-core.php doesn’t remove the upgrade files if the upgrade fails due to too old of a PHP or MySQL version defect (bug) normal Upgrade/Install 2.9
#11649 Upgrades Fail Because of [11883] defect (bug) normal Upgrade/Install 2.9
#11661 warning on line 790 of wp-includes/rewrite.php ryan defect (bug) normal Rewrite Rules 2.9
#11666 upgrade.php dies hard on MySQL < 4.1.0 defect (bug) normal Upgrade/Install 2.9
#11673 Need confirmation/undo/something for media delete defect (bug) normal Administration 2.9
#11219 could not be converted to UTF-8 / WordPress should cache failed feed fetches so as to avoid overloading feed sources defect (bug) high Optimization 2.9
#11505 cron stopped working with standard configuration westi defect (bug) high Cron 2.9
#11529 '$wpdb' typo in wp-admin/maint/repair.php causing table prefix not to appear defect (bug) high Administration 2.9
#11620 Upload Handling. Use is_numeric instead of ctype_digit. defect (bug) high Upload 2.9

Ladda ner WordPress 2.9.1 »
Ladda ner Svenska WordPress 2.9.1 »

Nu har förhoppningsvis den sista uppdateringen av wordpress släppts, iallafall för i år, och det är wordpress 2.9 som är sist ut.

Bland dom nya sakerna som finns att se i denna nya version så är det Inbyggd bilredigering, Inbyggd funktion för att automatiskt bädda in media (så som YouTube osv),  Papperskorg (möjligheten att återställa inlägg/sidor/kommentarer innan de raderas permanent), Massuppgradering av tillägg, Miniatyrbilder för sidor och inlägg.

Läs mer om vilka nya funktioner som kommer här

Ladda ner WordPress 2.9 »
Ladda ner Svenska WordPress 2.9 »

WordPress 2.8.6 är släppt och även detta är en säkerhetsuppgradering. Det är med andra ord rekommenderat att uppgradera så snart som möjligt (speciellt om du tillåter registrering av nya användare på din sida).

Inte helt oväntat, det är nog inte den sista säkerhetsuppdateringen för WordPress vi ser detta år

WordPress 2.8.5 har släppts och är framför allt en uppgradering för att förbättra säkerheten.

DÃ¥ var det dags att uppgradera igen…

Man har under de senaste månaderna jobbat hårt med kommande WordPress 2.9 och i och med det arbetet så har man hittat ett antal potentiella säkerhetsluckor som man nu alltså väljer att på ett förebyggande sätt täppa till med en version 2.8.5. Detta är med andra ord en uppgradering som rekommenderas för att hålla sin installation skyddad från angrepp av olika slag.

Ladda ner WordPress 2.8.5 »
Ladda ner Svenska WordPress 2.8.5 »

Ett litet shell script som är bra om man har många plugins, körs fördelaktigt i crontab en gång om dan eller liknande:

#!/bin/sh

#Uppdatera plugins

#skapa tempmiljö
mkdir /tmp/arf
cd /tmp/arf

#hämta alla plugins
wget -q http://downloads.wordpress.org/plugin/link-log-matcher.zip
wget -q http://downloads.wordpress.org/plugin/wordpress-popular-posts.zip
wget -q http://downloads.wordpress.org/plugin/sociable.zip
wget -q http://downloads.wordpress.org/plugin/google-sitemap-generator.zip
wget -q http://downloads.wordpress.org/plugin/gd-star-rating.zip
wget -q http://downloads.wordpress.org/plugin/contact-form-7.zip
wget -q http://downloads.wordpress.org/plugin/all-in-one-seo-pack.zip
wget -q http://downloads.wordpress.org/plugin/akismet.zip
wget -q http://downloads.wordpress.org/plugin/all-in-one-adsense-and-ypn.zip
wget -q http://downloads.wordpress.org/plugin/google-news.zip
wget -q http://downloads.wordpress.org/plugin/another-wordpress-classifieds-plugin.zip
wget -q http://downloads.wordpress.org/plugin/contextual-related-posts.zip

#unzippa allt och ta bort zippat skit
find . -name ‘*.zip’ -exec unzip {} \;
rm -rf /tmp/arf/*.zip

#börja med att rensa
rm -rf /var/www/sites/*/wp-content/plugins/*.zip
rm -rf /var/www/sites/*/wp-content/plugins/hello.php
rm -rf /var/www/sites/*/readme.html
rm -rf /var/www/sites/*/license.txt

#uppdatera

cp -R /tmp/arf/* /var/www/sites/xxx/wp-content/plugins/
cp -R /tmp/arf/* /var/www/sites/xxx/wp-content/plugins/

echo ”Klar, rensar upp lite…”
#ta bort temp miljön
rm -rf /tmp/arf
echo ”ciaoo…”

I samband med förra inlägget angående buggen i WordPress så har nu en officiell fix släppts.

WordPress 2.8.4 är släppt då ytterligare ett sårbarhet har påträffats. Detta är en sårbarhet som angripare kan använda för att kringgå säkerhetskontrollen vid återställning av lösenord genom att använda en specialanpassad URL. Resultatet blir att den första användaren som inte har en nyckel i databasen (vanligtvis användaren admin) får sitt lösenord återställt. Angriparen får inte tillgång till din installation men kan nollställa ditt lösenord om och om igen.

Ladda ner WordPress 2.8.4 »
Ladda ner Svenska WordPress 2.8.4 »

Idag släpptes en PoC på en bugg i alla WordPress under 2.8.3, så alla är sårbara.

Den går ut på att du kan resetta admin lösenordet utan någon som helst konfirmation.

Nedan är källkoden som är sårbar:

wp-login.php:
…[snip]….
line 186:
function reset_password($key) {
global $wpdb;

$key = preg_replace(‘/[^a-z0-9]/i’, ”, $key);

if ( empty( $key ) )
return new WP_Error(‘invalid_key’, __(‘Invalid key’));

$user = $wpdb->get_row($wpdb->prepare(”SELECT * FROM $wpdb->users WHERE user_activation_key = %s”, $key));
if ( empty( $user ) )
return new WP_Error(‘invalid_key’, __(‘Invalid key’));
…[snip]….
line 276:
$action = isset($_REQUEST['action']) ? $_REQUEST['action'] : ‘login’;
$errors = new WP_Error();

if ( isset($_GET['key']) )
$action = ‘resetpass’;

// validate action so as to default to the login screen
if ( !in_array($action, array(‘logout’, ‘lostpassword’, ‘retrievepassword’, ‘resetpass’, ‘rp’, ‘register’, ‘login’)) && false === has_filter(‘login_form_’ . $action) )
$action = ‘login’;
…[snip]….

line 370:

break;

case ‘resetpass’ :
case ‘rp’ :
$errors = reset_password($_GET['key']);

if ( ! is_wp_error($errors) ) {
wp_redirect(‘wp-login.php?checkemail=newpass’);
exit();
}

wp_redirect(‘wp-login.php?action=lostpassword&error=invalidkey’);
exit();

break;
…[snip ]…

Och för att utnyttja det så ger du den bara en array.

Vilket kan göras så här http://sv.wordpress.org/wp-login.php?action=rp&key[]=

Nu får det nästan ta och vara bra med buggar i WordPress ett tag tycker jag.

Läs mer här på milw0rm

För att patcha din wordpress sÃ¥ detta ”hack” inte fungerar öppna wp-login.php och sök efter denna rad:

if (empty($key))

Och ersätt den med denna rad:

if(empty($key) || is_array($key))

Du är nu förhoppningsvis säker en stund, notera att ovan ej är släppt av wordpress själva.

Dags att uppdatera igen.

WordPress 2.8.3 är just släppt och är en uppföljning på de säkerhetsuppdateringar som skedde i och med 2.8.2 då man missade vissa delar. Man bör med andra ord uppgradera sin installation så snart som möjligt för att vara på den säkra sidan.

Ladda ner WordPress 2.8.3 »
Ladda ner Svenska WordPress 2.8.3 »