En sårbarhed i forbindelse med udførelse af skripter på tværs af websteder (cross-site scripting, XSS) i wp-admin/vars.php i WordPress-versioner før 2.0.10 RC2, og før 2.1.3 RC2 i 2.1-serien, gjorde det mulig for fjernautentificerede brugere med temarettigheder, at indsprøjte vilkårlige webskripter eller HTML gennem PATH_INFO i administrationsfladen, knyttet til slap behandling behandling af regulære udtryk fra PHP_SELF.
WordPress 2.1.2, og sandsynligvis tidligere versioner, gjorde det muligt
for fjernautentificerede brugere med contributer-rolle, at omgå tilsigtede
adgangsbegrænsninger og aktivere publish_posts-funktionaliteten, hvilket
kunne anvendes til at udgive et tidligere gemt indlæg.
En sårbarhed i forbindelse med udførelse af skripter på tværs af websteder (XSS) i wp-includes/general-template.php i WordPress-versioner før 20070309, gjorde det muligt for fjernangribere at indsprøjte vilkårlige webskripter eller HTML gennem year-parameteret i funktionen wp_title.
En SQL-indspøjtningssårbarhed i xmlrpc.php i WordPress 2.1.2, og sandsynligvis tidligere versioner, gjorde det muligt for fjernautentificerede brugere at udføre vilkårlige SQL-kommandoer gennem en strengparameterværdi i et XML RPC-mt.setPostCategories-metodekald, i forbindelse med variablen post_id.
I den stabile distribution (etch) er disse problemer rettet i version 2.0.10-1.
I distributionerne testing og unstable (henholdsvis lenny og sid) er disse problemer rettet i version 2.1.3-1.
Vi anbefaler at du opgraderer din wordpress-pakke.
MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.