[Jann Hendrik]

golem.de berichtet:

Wordpress 2.0.5 ist erschienen. Wie eigentlich immer gilt, dass ein Update sinnvoll ist, da sicherheitskritische Lücken geschlossen wurden.

die download-Zahl von bisher rund 1,2 Millionen kann hier erhöht werden:
http://wordpress.org/download/

[Ben]

Alle Versionen einschließlich WP 2.0.5 enthalten zwei signifikante Sicherheitslöcher.
Zum Einen ist es möglich über die mbstring-Erweiterung von PHP schädlicher Code auszuführen

WordPress prüft zwar alle eingehenden Zeichenketten bei Trackbacks, die von anderen Seiten auf Blog-Einträge verweisen, ob sie verbotene SQL-Kommandos enthalten, allerdings erledigt die Software dies, bevor die mbstring-Konvertierung läuft. Ein Beispiel-Exploit schafft es so, zuerst die Warnmeldungen an den Andministrator abzuschalten, um dann die Hash-Werte der Passwörter auszulesen.

zum Anderen existiert eine Cross Site Scripting-Schwachstelle, da der CSRF-Schutz von WordPress fehlerbehaftet ist.

Die aktuelle Version 2.0.6 soll nicht betroffen sein.

Quelle: http://www.heise.de/newsticker/meldung/83280

Links zu den Originalmeldungen der Schwachstellen:
http://www.hardened-php.net/advisory_012007.140.html
http://www.hardened-php.net/advisory_012007.141.html