Wichtig: Abmahnung durch WordPress Plugin

17.10.2008 (50 Kommentare)

Wichtig: Abmahnung durch WordPress Plugin

Wie das Upload-Magazin berichtet wurden die Betreiber wg. der Verwendung des Plugins Subscribe To Comments – welches Benutzer auf Wunsch über neue Kommentare informiert – abgemahnt.

Der Grund: Die E-Mail-Benachrichtigungen werden OHNE Überprüfung an die im Kommentarformular angegebene E-Mail-Adresse verschickt. Jeder Benutzer kann dort eine beliebige E-Mail-Adresse angeben welche dann fortan mit Benachrichtigungen versorgt wird – ist das eine fremde Adresse und wurde sie ohne Wissen und Einwilligung des Besitzers benutzt so wird das als Spam gewertet.

Um vor Abmahnungen geschützt zu sein müsste das Plugin das Double Opt-In-Verfahren unterstützen mit welchem der kommentierende Benutzer ERST eine E-Mail mit Aufforderung zur Bestätigung des Abonnements (z.B. per Link) erhält, diese Bestätigung dann vom Plugin registriert wird das ERST DANN beginnt Benachrichtigungen an die gegebene Adresse zu versenden.

Alternative mit Sicherheitsproblemen

Das ab und an vorgeschlagene Plugin Comment Mailer konnte ich unter WordPress 2.6.x nicht zum Versenden von Bestätigungsaufforderungen überreden, wichtiger ist allerdings die fehlende Unterstützung von Sprachdateien – das Plugin arbeitet mit fest codiertem englischen Texten. Noch wichtiger – es hat definitiv mehrere verschiedene und schwerwiegende Sicherheitslücken – ich habe den Autor bereits per E-Mail informiert und rate vorerst VON DER VERWENDUNG AB bis der Autor reagieren konnte.

Fazit

Hier auf cywhale.de muss die E-Mail-Abonnement-Funktionalität leider abgeschaltet werden, es gibt kein Alternativplugin – ersatzweise wird ab sofort unter dem Texteingabefeld für einen Kommentar der Hinweis auf des Kommentar-RSS-Feed für den betreffenden Beitrag gegeben. Schade.

Update

Der Autor von Comment Mailer hat mich eben informiert dass er dabei ist die Sicherheitslücken zu entfernen und eine neue Version bereits verfügbar ist.

Update No.2

Mittlerweile ist eine weitere Version erschienen, laut Informationen des Entwicklers hat er sich der Sicherheitslücken angenommen, laut einer Kommentatorin läuft das Plugin auch auf WordPress 2.6.2. Dr. Web ist noch nicht ganz begeistert, ich selbst habe mir den Code noch nicht nochmals angesehen. In jedem Fall aber hat der Autor sehr schnell auf meine E-Mail reagiert und das Plugin bearbeitet.

Kommentar schreiben

Prinzzess
Am 17.10.2008, 19:16
Hm…bei mir scheint es zu funktionieren…vielleicht liegt es daran, weil ich noch wordpress 2.5.x drauf hab und nicht 2.6.2 ?
cywhale
Am 17.10.2008, 19:20
Wahrscheinlich, lt. dem WP-Plugin-Repository läuft es nur bis 2.5.
Christoph
Am 17.10.2008, 20:10
Danke für die Info… :D
Heike
Am 17.10.2008, 22:10
“Noch wichtiger â€“ es hat definitiv mehrere verschiedene und schwerwiegende Sicherheitslücken â€“ …”

Könntest Du das etwas genauer ausführen? Mir fehlt da irgendwie die Erklärung bzw. Erläuterung.

Lieben Dank.
Frank
Am 18.10.2008, 00:51
Kann ich leider nur bestätigen, auch unter 2.7 bekommt man die aktuelle Version nicht zum laufen. Im Code kann man sicher einiges machen.
AndrÃ© Wegner
Am 18.10.2008, 11:10
Der Autor hat scheinbar schnell reagiert, das Plugin ist als überarbeitete Version verfügbar.
cywhale
Am 18.10.2008, 11:25
Ja, er hat wirklich schnell reagiert, die Blogosphäre wird es ihm danken. Laut E-Mail-Information ist er dabei die Sicherheitslücken zu entfernen.
Dieter
Am 18.10.2008, 11:40
Danke für die Infos. Ich habe bei mir das Plugin â€œSubscribe to Commentsâ€ deaktiviert und hoffe nun, dass möglichst bald dieses Plugin um das Double-Opt-In-Verfahren erweitert wird und/oder der Comment Mailer eine Alternative wird, die keine Sicherheitslücken mehr aufweist, unter WP 2.6.2 und 2.7 auch läuft und zudem ohne größere Probleme mit deutschem Text eingesetzt werden kann.
Kommentarfeed ist für mich nicht wirklich die Alternative, weil die Feedfunktionalität des Firefox auch mit Plugins ich nicht raffe bzw. nicht benutzerfreundlich genug ist.
Steffino
Am 18.10.2008, 15:09
bei mir hat es mit dem commentmailer auch nicht geklappt – werde ich wohl erst mal abwarten…
MacMacken
Am 18.10.2008, 15:16
Wieso führt jemand, der WordPress-Erweiterungen bastelt, kein eigenes Blog? Ein eigenes Blog wäre ein perfektes Mittel um über neue Versionen zu informieren und den Kontakt mit den Benutzern der Erweiterung(en) zu pflegen â€¦
cywhale
Am 18.10.2008, 15:24
Führt er unter 24stunden.de. Ausserdem gibt es auf der Pluginseite links unten das aktualisierte Changelog ?
Herr Schwaner
Am 18.10.2008, 16:12
Bisher hatte ich Plugs auf Quietschbunt.wordpress.com vorgestellt, aber das ist ein wenig eingeschlafen, weil ich zeitlich derzeit sehr involviert bin.
KRiZZi
Am 18.10.2008, 16:55
Hmmm… ich hab mit dem CommentMailer unter 2.6.2 keine Probleme.
cywhale
Am 18.10.2008, 17:07
Aktuelle Version? Das WP 2.6.x-Problem bestand gestern als die ganze Diskussion aufkam. Der Autor hat fix reagiert und heute zwei neue Versionen veröffentlicht.
KRiZZi
Am 18.10.2008, 17:13
Ich hatte das gestern mit der 1.3er getestet, ging einwandfrei. Mit der 1.4.2 von heute hatte ich noch keine Gelegenheit. Hab’s gerade erst aktualisiert und muss jetzt mal kurz weg. Ich werd das aber auf jeden Fall später noch testen.
Herr Schwaner
Am 18.10.2008, 17:34
Ich werde mich nun ausgiebig mit der derzeitigen WP-Version beschäftigen. Mal sehen.
Justin
Am 19.10.2008, 09:11
Ist schon sehr krass durch was alles abgemahnt werden kann.
Tom
Am 19.10.2008, 15:29
Es wird immer schlimmer, ein Buchstabe falsch und schon hast du Abmahnungs-Anwaelte am Hals. Wo soll das noch hinfuehren. Armes Deutschland kann ich da nur sagen. Neben dem Informatik Studium brauchst du heute auch noch einen Jura Abschluss. Und selbst das hilft nichts, da verschiedene Gerichte teilweise verschiedene Rechtsauslegungen habe. Aber wenigstens hat es auch was gutes. Wir sorgen dafuer, dass gewissen Anwaelte ihr taegliches Brot haben. “Brot fuer die Armen” ;-)
Tobias
Am 19.10.2008, 22:15
Hallo,
ich habe das PlugIn mal erweitert, unter http://www.tobiaskoelligan.de/internet/subscribe-to-comments-mit-double-opt-in-pruefung/ findet Ihr die Version mit Opt-In Feature! Noch Beta, aber läuft schon sehr gut :)

MfG Tobias
kitesurfing-Matze
Am 21.07.2009, 20:01
Ach das ist natürlich gut zu wissen :) vor allem wenn man eine Community betreibt… sind derzeit am überlegen wie wir das mit der Komminterfunktion beispielsweise hier machen sollen .. haben halt kein Wordpress, deshalb mal schaun ..

Danke für die Info
Matze