WordPress – Jeder kann upgrade.php von Blogs aufrufen?
Im Zuge meines Upgrades auf die neue WordPress Version 2.1 ist mir aufgefallen das “fast” jeder bekannte Blog es ermöglicht einfach PHP-Dateien aus dem WP-Admin Verzeichnis aufzurufen.
Besonders halt auch die Datei
http://webseite.de/wp-admin/upgrade.php ist mir da ins Auge gefallen.
Nun stellt sich für mich die Fragen:
- Kann das ein Problem sein?
- Soll das so sein oder ist das die Nachlässigkeit der Blogbetreiber?
Probiert es mal irgendwo aus. Mich hat das halt sehr gewundert!
Was sagt Ihr so dazu?
Ich vermute fast, es ist eine Fangfrage deinerseits. Ich habe die Version von Blattschatten durch meinen Provider (Tools) installieren lassen und siehe da, sowohl die install.php als auch die upgrade.php waren noch da. Ohhh. Ich glaube, dass ist nicht gut — gar nicht gut. Jetzt habe ich sie mal schnell gelöscht.
Deine Vermutung mit der Fangfrage ist richtig!
Mir ist nur aufgefallen, das viele sehr bekannte Blogs diese Dateien auch frei zugänglich haben.
Die Frage ist nun welche Dateien muss man nach einer Erfolgreichen Installation löschen? Welche Rechte muss man genau auf das Admin Verzeichnis legen usw.?
Da muss ich noch mal auf die Suche gehen.
Probiere mich auch gerade an WP 2.0.8 – da funktioniert der Aufruf der Dateien auch. Werde ich gleich mal rauslöschen…
Glaube die Rechte (CHMOD) der WP Ordner werden bei der ersten Installation automatisch auf 755 gesetzt.