Hned na začátek upozorním, že slovo “zbytečná” v nadpisu v tomto případě rozhodně neznamená, že byste snad neměli aktualizovat na nejnovější WordPress 2.9.2, ale chci tímto dvojsmyslem spíše naznačit, že opravená bezpečnostní chyba byla původně nahlášena již před třemi měsíci a samotná oprava tak mohla být už klidně zahrnuta třeba do předchozí opravné verze v podobě WordPressu 2.9.1. Kdyby si toho tedy ovšem někdo všimnul, nebo to považoval za důležité, ehm… Berte tento příspěvek i trochu jako zamyšlení a pohled do zákulisí vývoje WordPressu.

Na první pohled bylo vše jasné a probíhalo to jako obvykle podle předem známého scénáře. Objevila se nová bezpečnostní hrozba, vývojáři ji opravili a vyslali do světa opravný balíček v podobě WordPressu 2.9.2. Postupně tuto zprávu začalo přebírat mnoho dalších (i českých, např. zde a zde) webů, které také upozorňovaly zejména na nejčastěji zmiňovanou bezpečnostní hrozbu. O co vlastně šlo? Celý problém souvisí s “Košem”, který se stal poprvé součástí WordPressu 2.9, a přitom musí být splněno ještě několik dalších podmínek. Pokud vyhodíte (třeba jako “Administrátor”, tedy s neomezenými právy) do koše nějaký svůj příspěvek, pak si ho jiný uživatel (který musí být na vašem webu zaregistrovaný, stačí však s nejnižšími právy jako “Návštěvník”) může na webu (nikoliv v administraci) prohlédnout. Ale to ještě není všechno. Aby si ho mohl prohlédnout, tak musí znát jeho URL adresu. Zkusme si nasimulovat nějakou modelovou situaci. “Administrátor” napíše a zveřejní nějaký dokument (špión v podobě “Návštěvníka” si ho přečte, zalíbí se mu a uloží si jeho adresu např. do Oblíbených položek v prohlížeči), ale posléze už tuto informaci nechce na veřejnosti sdílet a dokument raději odstraní (vyhodí do koše). Ale během doby než dojde k automatickému vysypání koše si ho může náš registrovaný “Návštěvník” dále libovolně prohlížet. Potenciálních případů zneužití asi nebude příliš moc (mohlo by se to stát třeba někomu z našich čtenářů?), ale každopádně je to závažná chyba a sluší se ji opravit.

Podívejme se teď ale pro zajímavost do zákulisí vývoje WordPressu, protože “nejvtipnější” na celém problému je fakt, že toto bezpečnostní riziko bylo nahlášeno již před třemi měsíci. Ano, opravdu měsíci. Vývojáři o něm debatovali, měnili jeho závažnost a přesouvali případné řešení do budoucna. Ale nikdo tomu nevěnoval dostatečnou pozornost (nebo si spíše neuvědomil bezpečnostní riziko), dokud se toho nechopil Thomas Mackenzie, který celý problém podrobně zdokumentoval a odeslal ho na speciální emailovou adresu security@wordpress.org, která je určena právě pro odhalené bezpečnostní hrozby (a v tomto případě je to evidentně lepší místo pro oznámení než oficiální shromaždiště problémů – Trac). Vývojáři mají evidentně práce nad hlavu a tento již dříve nahlášený problém je tak trochu minul. Důsledkem pak byla nutnost vydání WordPressu 2.9.2, který tak vlastně ani nemusel vyjít, kdyby byla chyba dříve opravena a odpustili bychom si tak jednu bezpečnostní aktualizaci. Mimochodem, pokud nevyhazujete do koše tajné dokumenty, nebo nemáte na webu registrované uživatele, tak si tuto aktualizaci můžete odpustit (na druhou stranu ale byly opraveny i další chyby, takže jako obvykle spíše doporučujeme aktualizovat). I když to kliknutí na tlačítko “Aktualizovat WordPress” snad nikoho moc nebolí. Celý příběh s dalšími podrobnostmi si mohou zájemci přečíst na blogu jednoho z aktivních přispěvovatelů WordPressu (anglicky).

A co je ve WordPressu 2.9.2 ještě nového? Bylo opraveno několik dalších chyb. Jeden z podobně zneužitelných problémů spočíval v tom, že jste mohli pomocí Firebugu (rozšíření pro Firefox) upravit skryté ID příspěvku ve formuláři pro vložení komentáře, takže bylo možné vložit např. komentář k příspěvku, který měl být teprve vydán (naplánován). Dále byly opraveny drobné chyby, většinou pochopitelné pouze pro programátory.

Po delším zvažování nakonec čeština pro WordPress 2.9.2 vyjde asi zítra, bude obsahovat pouze některé drobné úpravy českých řetězců. Kdo si už nainstaloval anglickou verzi (nebo češtinu nechce), tak ji může klidně ignorovat, o nic důležitého nepřijde.