Kategorie: Wordpress

Veröffentlicht am

Plugins bringen Risiken für WordPress-Installionen

Wordpress Code is poetry Lanyard

WordPress ist mit einem Marktanteil von mittlerweile über 35 Prozent ein überaus lohnendes Ziel für Angreifer. Damit lohnt es sich, nach Lücken zu suchen, Angriffsszenarien zu entwickeln und zu skalieren: Einmal gefundene Angriffsvektoren kann man auf sehr viele WordPress-Installationen anwenden. Meist geht es darum, die Installation zu hacken, um sie unter Kontrolle zu bekommen.

Typischerweise ergaunern sich die Angreifer so entweder die Admin-Berechtigung oder sie schaffen es, aus der Ferne Code auszuführen, der die WordPress-Installation fernsteuert. Damit kann man dann zum Beispiel Spam versenden, Phishingseiten aufbauen oder Daten abgreifen. Gerne wird auch ein spammiger Redirect auf irgendeine Shopseite ausgelöst.

Wie die Situation aktuell aussieht und wo Ansatzpunkte für besseren Schutz zu finden sind, steht in diesem Blogartikel.

„Plugins bringen Risiken für WordPress-Installionen“ weiterlesen
Veröffentlicht am

Neue Webhosting- und Webmacher-Podcast-Episode online

Soeben haben wir die neue Episode aus der zweiten „Season“ online gestellt. Wir knüpfen an den Jahreswechsel an.

Shownotes mit Links zu den erwähnten Themen hier:

https://www.goneo.de/blog/webhosting-und-webmacher-podcast-powered-by-goneo/season-2-episode-1-2020/

goneo hat drei neue Features gelauched: 2FA für das goneo-Kundencenter. „Warum nicht für Webmail?“ haben uns User gefragt. Eine ausführliche Antwort geben wir in dieser Ausgabe.

Zudem fragten einige: Was macht man mit Webcrons sinnvollerweise? Auch dazu einige Fallbeispiele im aktuellen Audiotrack.

Interessant auch die Möglichkeiten der Mailfilter-Anwendung im SIEVE-Standard. Allerdings muss man bei goneo keine Konfigurationsdatei händisch erstellen. Der goneo-Webmailer unter https://webmail.goneo.de bietet ein hervorragendes grafische Benutzerinterface.

Weitere Themen:

  • WordPress-Nutzer freuen sich auf Version 5.4. Eine zweite Beta ist inzwischen erschienen.
  • Neben Webpublishing (mit WordPress zum Beispiel) und Onlineverkauf (Shop mit Magento) ist Onlinespeicher sicher einer der häufigsten Nutzungsszenarien für Webhostingpakete. Wir empfehlen, einen neuen Blick auf den aktuellen Release von Nextcloud zu werfen. Besonders die Office-Integration macht Nextcloud noch attraktiver als Plattform für Teams, die zusammenarbeiten.
  • In Kalenderwoche 10, vom 2.3. bis 6.3.2020, werden die Server von goneo runderneuert. Sie erhalten neue Software, unter anderem die Pakete für PHP 7.4. Dies ist das aktuelle Release. PHP 7.1 ist inzwischen geplanterweise aus dem Updateservice der Hersteller herausgefallen.

Q&A: Einige User stellten Fragen, die wir in dieser Episode aufgegriffen haben:

„Was kostet Webhosting?“ und „Was ist der Unterschied zwischen einer Sitemap und einer Heatmap“.

Veröffentlicht am

Sicherheitsprobleme mit WordPress-Plugins „DatabaseReset“, „WP Time Capsule“, „Infinite WP“

Verschiedene Quellen berichen aktuell von mindestens drei Sicherheistlücken in drei verschiedenen, oft eingesetzten WordPress-Plugins: DatabaseReset, WP Time Capsule und Infinite WP. Wer diese verwendet, sollte schnell updaten.

„Sicherheitsprobleme mit WordPress-Plugins „DatabaseReset“, „WP Time Capsule“, „Infinite WP““ weiterlesen
Veröffentlicht am

Deshalb brauchst du das Update auf WordPress 5.3.1 … nein 5.3.2 ! (aktualisiert)

WordPress hat Release 5.3.1 veröffentlicht. Viele Probleme wurden korrigiert.
Sicherheits-Update: Stelle sicher, dass deine WordPress-Installation nun die Releasenummer 5.3.1 hat.

Ganze 46 Bugfixes und Patches sind in das WordPress-Release 5.3.1 eingeflossen. Nun ist nur eineinhalb Tage später gleich das nächste Update mit der Nummer 5.3.2 hinterhergeschoben worden. Wichtig sind in 5.3.1 vier korrigierte Sicherheitsprobleme:

  • User ohne entsprechende Berechtigung konnten einen Post „sticky“ machen, so dass dieser stets oben angezeigt wurde. Dies war über die REST API mnöglich.
  • Cross-Site-Scripting (XSS)-Angriffe waren mit „well-crafted“, also entsprechend präparierten Links möglich.
  • Das wp_kses_bad_protocol() hat ein Update erfahren und wurde gegen Angriffe gehärtet.
  • Mit dem Block Editor und gespeicherten Inhalten waren unter Umständen ebenfalls XSS-Angriffe machbar.

Ansonsten gab es auch einige Fixes, die eher in die Kategorie „Stabilisierung“ fallen und nicht sicherheitsrelevant sind:

  • Verbesserung bei der Verwaltung von Form (Höhen- und Anordnungs-Kontrolle)
  • Ergänzung des entsprechenden Dashboard -Widgets durch einen Links zur Verwaltung eines alternativen Farbschemas (bessere Zugänglichkeit)
  • Lösung von Javascript-Problemen bein Edge-Scrolling
  • Bei gebundleten Themes kann man nun entscheiden, ob die Autoreninfos (Bio) angezeigt werden sollen.
  • Das Javascript-basierte smooth Scrolling wurde nun auf CSS umgestellt.
  • Beseitigung von CSS-Darstellungsproblemen bei Einbettungen von Instagram-Elementen
  • Verbesserung der Berechnung und Darstellung von nicht-GMT-Datenangaben
  • Stabilisierung der make get_permalink()-Funktion bei Zeitzonenänderungen in PHP
  • Entfernung von CollegeHumor (oEmbed Provider) – diesen Service gibt es nicht mehr
  • Update der sodium_compat-Bibliothek (Krypto-Funktionen in PHP)
  • Verbesserung bei Site Health: Die Intervalangaben für Erinnerungen per Mail können nun gefiltert werden
  • Gleichnamige Thumbnail-Uploads überschreiben nun keine existierenden Dateien mehr
  • Bilder im PNG-Format werden von einer automatischen Skalierung nach Upload ausgenommen.
  • Die Administration der E-Mail-Prüfung bezieht sich nun auf die Userangaben, nicht auf die hinterlegte Variable für die Website.

Wenn die automatische Updatefunktion nicht abgeschaltet ist, werden existierende WordPress-Installationen dieses Release automatisch einspielen. Wer sichergehen will, überprüft auf dem WordPress-Dashboard die Installation. Dort lässt sich ein Updatelauf jederzeit auch manuell anstoßen.

Nun folgt eine weiteres „Maintenance Update“, wie wordPress.org sich ausdrückt, mit der Nummer 5.3.2:

  • get_feed_build_date() korrigiert fehlerhafte Daten besser
  • Bei Uploads ist die Handhabung bei Namenskolissionen von Dateien verbessert worden (in wp_unique_filename() )- Probleme traten wohl auf, wenn Groß- und Kleinschreibung verwendet wurde, aber das Dateisystem dies nicht unterscheidet.
  • Im Media-Manager wurde ein Problem in Verbindung mit PHP-Warnmeldungen in wp_unique_filename() gelöst (wenn das Zielverzeichnis nicht lesbar ist)
  • Ein Farbschemaproblem, das in Verbindung mit Buttons in der .active class auftrat, ist korrigiert
  • Bei wp_insert_post() wird der Unterschied zweier Versionen (bei Veröffentlichungsterminen in der Zukunft) nun korrekt berechnet.
Veröffentlicht am

WordPress veröffentlicht die finale Version von Release 5.3 namens „Kirk“

„Kirk“ heißt die neue Version von WordPress, die die Nummer 5.3 trägt. Auch wenn viele damit nun den Namen eines fiktiven Raumschiffkapitäns verbinden, ehrt WordPress damit den Jazz-Musiker Rahsaan Roland Kirk. Dies ist eine Tradition bei WordPress. Alle wichtigen Releases tragen Namen von Jazz-Größen.

„WordPress veröffentlicht die finale Version von Release 5.3 namens „Kirk““ weiterlesen
Veröffentlicht am

Mit goneo und WordPress – so erstellst du deine Website

mit goneo WordPress hosten

Aller Anfang ist schwer, sagt es sich lapidar. Wer sich in das Thema Webseitenerstellung einarbeiten möchte oder muss, benötigt viel Zeit. Alternativ dazu helfen Agenturen und Webdesigner weiter. Homepagebaukästen versprechen Komfort und kurze Fertigstellungszeiten. Doch der Preis dafür ist ein Verlust an Flexibilität und die Bindung an das spezielle System eines Herstellers. Und dann gibt es noch Open-Source-Webanwendungen wie WordPress.

„Mit goneo und WordPress – so erstellst du deine Website“ weiterlesen
Veröffentlicht am

Neue Podcast-Episode: WordPress Release 5.2 Ende April 2019 und ein Ausblick auf Joomla 4

Wir werfen den Blick voraus und wollen einen Blick auf das neue Joomla 4 werfen, für das es inzwischen die siebte Alphaversion gibt. Was Joomla alles ankündigt, erfährst du in dieser Podcast-Episode. Vielleicht verkleinert sich der Abstand in der Verbreitung zwischen WordPress (über 30 Prozent) und Joomla (etwa 4 Prozent) dann wieder ein wenig.

Das Releasetempo bei WordPress bleibt hoch: Der Gutenberg.-Editor hat immer noch eine eigene Versionierung, was etwas seltsam anmutet, weil er ja Teil des WordPress Kerns ist. Aktuell ist Gutenberg Release 5.4. Ende April soll eine neue WordPress-Version folgen.

Mehr Shownotes …

Veröffentlicht am

Computer-Fachzeitschrift testet Performance von Hostern: Platz 2 für goneo

ct, eine renommierte Computer-Fachzeitschrift hat unlängst eine Reihe von Hostern mit einem lebensnahen Performance-Test geprüft und sieht goneo auf Platz 2 mit knappem Abstand zum ersten Platz.

Die Zeitschrift ct testete Anfang 2019 die Performance von Webhostern wobei goneo den zweiten Platz belegte.
Ausschnitt aus dem Artikel „Marke Eigenbau“ in der Zeitschrift ct, Heft 7 vom 16.3.2019, Seite 20. Im Rahmen eines Feldtests belegte goneo Rang zwei der Anbieter mit den besten Seitenladezeiten eines WordPress-Standardinstallation.

In einem großangelegten Test haben Redakteure der Zeitschrift ct aus dem Heise-Verlag in Hannover viele Provider untersucht. Im Fokus standen Webhosting-Pakete im Preissegment um die 100 Euro pro Jahr, die mindestens 50 Gigabyte an Speicher boten und SSL-Zertifikate bereitstellten.

„Computer-Fachzeitschrift testet Performance von Hostern: Platz 2 für goneo“ weiterlesen