Lokale Avatare und die Sicherheit

Kaum hatte ich Avatare und die DSGVO veröffentlicht, meldete sich Frank Westphal von rivva.de bei mir und wies mich netterweise auf eine Sicherheitslücke in meinem Skript hin. Vielen Dank dafür! Ich hatte zum Herunterladen der Avatare die Funktion wp_remote_get benutzt, ohne auf das Kleingedruckte zu achten: „If the URL is user-controlled, use wp_safe_remote_get() instead.“ Dadurch wäre theoretisch eine sogenannte Server Side Request Forgery, bei der die erwartete Bild-Url durch z.B. http://127.0.0.1:8080/ ausgetauscht wird und der Aufrufer damit Zugriff auf Interna meines Servers bekommen könnte. Mit wp_safe_remote_get wird das verhindert. Dass mir so etwas bei Gravatar oder Bluesky passiert, halte ich für ausgeschlossen. Aber ich hatte das Plugin bewusst so offen gehalten, dass es für Avatare von beliebigen Plattformen funktioniert, da ich da auch noch andere Basteleien vorhabe. Also habe ich alles abgesichert. Neben wp_safe_remote_get gibt es jetzt einen Stapel von Prüfungen, ob…