WordPress MU 2.8.6 ist ein Sicherheitsrelease und behebt ein Problem, durch das auf bestimmten Apache-Installationen Dateien wie “foto.php.jpg” als Code ausgeführt werden können.

Das Problem tritt unter bestimmten Einstellungen des Apache-Webservers auf, wenn in der Konfiguration “AddHandler application/x-httpd-php .php” eingesetzt wird (allerdings ist AddType, dass z.B. bei Strato zum Einsatz kommt, unbetroffen).

Des weiteren wurden eine XSS-Lücke geschlossen sowie der Fehler, dass unter bestimmten Voraussetzungen, das Speichern von Artikel nicht möglich ist, behoben.

Außerdem wurden folgende Bugs behoben:

• Das Attribut “title” bei einem img-Tag ist nun “whitelisted” und wird nicht mehr heraus gefiltert (#1155)
• Bei Neuinstallation wird nicht mehr die Update-Meldung angezeigt (Revision 1996)
• Anpassbarkeit der Registrierung per CSS verbessert (#1152)
• Bei Unterordner-Installationen dürfen neue Blogs nicht mehr nach vorhandenen Seiten-URLs benannt werden (#1150)

Es fanden zudem Änderungen an der Sprachdatei statt. Diese muss leider manuell aktualisiert werden.

Vor dem Update gilt wie immer: Backup von Datenbank und Dateien erstellen!

• Download von WordPress MU 2.8.6 sowie der dt. Sprachdatei

Mit WordPress MU 2.8.5 (betroffen somit auch die aktuelle Version 2.8.5.2) wurde eine Funktion, namens “post_author_sanity_check()”, eingeführt, die prüfen soll, dass nur Benutzer, die dem aktiven Blog wirklich zugewiesen wurden sind, Artikelautoren sein können. Leider blockiert die Funktion unter gewissen Umständen auch komplett das Speichern eines Artikels.

Folgende Fehlermeldung erscheint: “You cannot make this user the post author.” bzw. mit neuester deutscher Sprachdatei: “Du kannst dieses Benutzer nicht zum Artikelautor machen.”.

Bisher ist keine neue Version erschienen, die das Problem behebt, aber betroffene Benutzer können durch einspielen einer gepatchten Version der Datei “mu.php” im Ordner “wp-admin/includes” schon jetzt WordPress MU reparieren. Die neue Version ist über den offiziellen Entwicklerkanal von WordPress MU erschienen und wird auch so in die nächste WPMU-Version einfließen.

Wie immer gilt bei solchen Aktionen: Vorher ein komplettes Backup der Dateien und der Datenbank erstellen.

• Download der gepatchten “mu.php”