heise+ | Datenlecks auf WordPress-Websites finden und abdichten

Mit WordPress ein eigenes Blog oder eine Homepage aufzusetzen, ist leicht. Schlüsselfertige Installationen des CMS bekommt man praktisch bei jedem Hoster. Das ist ideal, um Informationen zu verbreiten. Manche Daten nur bestimmten Benutzern zugänglich zu machen, ist hingegen nicht so leicht. Denn was viele Betreiber nicht wissen: WordPress besitzt ein leistungsfähiges, standardmäßig ziemlich auskunftsfreudiges JSON-API. Darüber lassen sich zum Teil sensible Daten ohne vorherige Anmeldung am Frontend vorbei abrufen.

Durch das JSON-API ist WordPress besonders ausbaufähig und flexibel. Es ermöglicht die Entwicklung von Erweiterungen auf Basis einer stabilen, klar definierten Schnittstelle, die noch dazu zustandslos ist – also nicht abhängig davon, was andere Benutzer gerade auf der Website tun. So gibt es Smartphone-Apps und verschiedene Editoren, mit denen man Inhalte erstellen und verwalten kann: Neben dem Classic Editor den aktuellen Standard-Editor Guttenberg, Thrive Architect, Elementor und Divi, um nur drei bekanntere zu nennen. Auch viele Plug-ins wie Kontaktformulare nutzen das JSON-API als Schnittstelle zu WordPress.

Für ein Reise-Blog mag es kein Problem sein, dass standardmäßig alle Inhalte jedem zugänglich sind, doch schon bei einer Vereinswebsite liegt der Fall anders: Dort gibt es üblicherweise einen Mitglieds- oder gar Vorstandsbereich, den eben nicht jeder einsehen können soll. Denn selbst wenn der Abruf dieser Seiten über das Standard-Theme nur angemeldeten Benutzern möglich sein sollte, kommt über das JSON-API jeder ohne eine Anmeldung heran. Abhilfe bringt ein Plug-in, das den Zugang zum JSON-API einschränkt.

Das war die Leseprobe unseres heise-Plus-Artikels "Datenlecks auf WordPress-Websites finden und abdichten". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.