Archiv
Eine Sicherheitscheckliste speziell für Bludit-Erweiterungen und Adminwerkzeuge.
Ein Bludit-Plugin läuft im selben PHP-Prozess wie das CMS. Deshalb ist ein Plugin keine „Sandbox“. Wer Uploads, Formulare oder externe Daten verarbeitet, muss dieselben Sicherheitsregeln beachten wie bei jeder anderen PHP-Anwendung.
Bludit 3.20 und 3.22 enthielten konkrete Sicherheitskorrekturen. Wer API, Uploads oder mehrere Benutzer einsetzt, sollte Release Notes genauso ernst nehmen wie neue Funktionen.
Bei einem kleinen Flat-File-CMS kann leicht der Eindruck entstehen, Updates seien weniger wichtig als bei einem großen System. Das Gegenteil ist sinnvoller: Auch Bludit besitzt Uploads, Benutzer, Sessions, Plugins und optional eine API – also typische sicherheitsrelevante Angriffsflächen.
Im Release 3.20 wurde unter anderem eine authentifizierte Datei-Upload-Schwachstelle geschlossen. Bludit 3.22.0 brachte später eine weitere Sicherheitskorrektur zur Invalidierung von Sessions deaktivierter Benutzer.