Ars Longa, Vita Brevis » Патчи

SQL Injection Vulnerability в Z-Vote 1.1

Wandering Soul — Fri, 25 Feb 2011 19:32:49 +0000

Исправление уязвимостей в плагине WordPress Z-Vote 1.1

В плагине WordPress Z-Vote 1.1 была обнаружена уязвимость, позволяющая злоумышленнику выполнять произвольные запросы к базе данных (уязвимость типа «SQL-инъекция»).

Уязвимость существует из-за неправильного использования метода wpdb::prepare() и отсутствия проверки и очистки переменной $_GET['zvote'].

Уязвимость позволяет злоумышленнику изменять запросы к базе данных, выполнять произвольные запросы, читать или изменять конфиденциальную информацию.
Вторая уязвимость (незначительная по сравнению с SQL-инъекцией) — раскрытие пути к плагину (path disclosure) при прямом доступе к файлу плагина.

Патч, исправляющий уязвимости в Z-Vote 1.1:

diff -uwdBrN z-vote.orig/zvote.php z-vote/zvote.php
--- z-vote.orig/zvote.php 2011-02-25 21:05:44.000000000 +0200
+++ z-vote/zvote.php 2011-02-25 21:10:46.531798756 +0200
@@ -9,6 +9,8 @@
License: GPL
*/

+ defined('ABSPATH') or die();
+
// --- DEFINITIONS

//define where zvote is installed on the wordpres system. In 99.9% of the case the path below is correct.
@@ -271,7 +273,7 @@
function zVote_getEntry($postid) {
global $wpdb;

- $entries = $wpdb->get_results($wpdb->prepare("SELECT * FROM " . $wpdb->prefix . "zvotedata WHERE postid = " . $postid . ""));
+ $entries = $wpdb->get_results($wpdb->prepare("SELECT * FROM " . $wpdb->prefix . "zvotedata WHERE postid = %d", $postid));

return $entries;
}
@@ -282,7 +284,7 @@
global $wpdb;

$votes = 0;
- $votes = $wpdb->get_var($wpdb->prepare("SELECT COUNT(*) FROM " . $wpdb->prefix . "zvotedata WHERE postid = " . $postid . ""));
+ $votes = $wpdb->get_var($wpdb->prepare("SELECT COUNT(*) FROM " . $wpdb->prefix . "zvotedata WHERE postid = %d", $postid));

return $votes;
}
@@ -292,7 +294,7 @@

global $wpdb;

- $votes = $wpdb->get_var($wpdb->prepare("DELETE FROM " . $wpdb->prefix . "zvotedata WHERE postid = " . $postid . ""));
+ $votes = $wpdb->get_var($wpdb->prepare("DELETE FROM " . $wpdb->prefix . "zvotedata WHERE postid = %d", $postid));

return $votes;
}
@@ -353,7 +355,7 @@
global $wpdb;

//ipcheck for now, will expand to userid-check, based on the user setting in version 1.5
- $ipcheck = $wpdb->get_var($wpdb->prepare("SELECT id FROM " . $wpdb->prefix . "zvotedata WHERE postid = " . $postid . " AND userip = \"" . $_SERVER['REMOTE_ADDR'] . "\""));
+ $ipcheck = $wpdb->get_var($wpdb->prepare("SELECT id FROM " . $wpdb->prefix . "zvotedata WHERE postid = %d AND userip = %s", $postid, $_SERVER['REMOTE_ADDR']));

$wpdb->insert( $wpdb->prefix . 'zvotedata', array( 'postid' => $postid, 'userip' => $_SERVER['REMOTE_ADDR'], 'userid' => 0, 'time' => time() ), array( '%d','%s', '%d', '%d' ) );

@@ -365,7 +367,7 @@
global $wpdb, $wp_query, $redirect_meta_key;

//ipcheck for now, will expand to userid-check, based on the user setting in version 1.5
- $ipcheck = $wpdb->get_var($wpdb->prepare("SELECT id FROM " . $wpdb->prefix . "zvotedata WHERE postid = " . $postid . " AND userip = \"" . $_SERVER['REMOTE_ADDR'] . "\""));
+ $ipcheck = $wpdb->get_var($wpdb->prepare("SELECT id FROM " . $wpdb->prefix . "zvotedata WHERE postid = %d AND userip = %d", $postid, $_SERVER['REMOTE_ADDR']));

if (!$ipcheck) {
//ok to vote, register vote
@@ -382,7 +384,7 @@
}

//send user to post
- header('Location: ' .$injectionPoint);
+ wp_redirect($injectionPoint);
exit;
} else {
//user already registered, push to entry-page and inform the user.
@@ -394,7 +396,7 @@
$injectionPoint = $post . '?zvoters=2';
}

- header('Location: ' .$injectionPoint);
+ wp_redirect($injectionPoint);
exit;
}
exit;

При использовании материалов блога наличие активной не закрытой от индексирования ссылки на источник обязательно.

Генерация карты сайта в HTML из XML: часть 3

Vladimir — Sun, 28 Nov 2010 00:30:50 +0000

Автоматизация: перекладываем работу на Google XML Sitemaps

Продолжение цикла статей на тему генерации карты сайта в HTML из карты XML.

В данной статье будет рассмотрен вопрос модификации плагина Google XML Sitemaps с целью добавления поддержки автоматической генерации HTML-версии карты сайта; как и в предыдущих статьях, преобразование будет осуществляться средствами XSL.

В первой части статьи мы рассматривали вариант, основанный на использовании утилиты xsltproc. Предполагалось, что генерация HTML-версии карты сайта осуществляется с использованием cron. Создание карты по расписанию означает, что построение HTML-карты будет запаздывать на некоторое время; а если не сравнивать время модификации XML- и HTML-версий карт, получим бесполезные вызовы xsltproc.

Те, кто используют WordPress, очень часто для автоматического построения карты сайта используют плагин Google XML Sitemaps; для них предлагается вариант с модификацией кода плагина для автоматической генерации HTML-карты.

Плагин позволяет задавать свою таблицу стилей XSLT:

Мы изменим плагин таким образом, чтобы при заданной таблице стилей XSL плагин создавал HTML-файл с результатами преобразований XSL.

В файле sitemap-core.php ищем такой кусок кода:

if($this->GetOption("b_xml")) {
if($this->_fileHandle && fclose($this->_fileHandle)) {
$this->_fileHandle = null;
$status->EndXml(true);
$pingUrl=$this->GetXmlUrl();
} else $status->EndXml(false,"Could not close the sitemap file.");

После него добавляем такой:

if (class_exists('XSLTProcessor', true)) {
$file = $this->GetXmlPath();
$styleSheet = ($this->GetDefaultStyle() && $this->GetOption('b_style_default') === true ? $this->GetDefaultStyle() : $this->GetOption('b_style'));
if (!empty($styleSheet)) {
$xsl = new DOMDocument();
$xsl->load($styleSheet);

$xml = new DOMDocument();
$xml->load($file);

$proc = new XSLTProcessor();
$proc->importStyleSheet($xsl);
$proc->transformToURI($xml, 'file://' . str_replace('.xml', '.html', $file));
}
}

Данный код требует PHP 5 и расширения XSLT (в Debian/Ubuntu оно предоставляется пакетом php5-xsl). Код получает имя файла с картой сайта и адрес таблицы стилей (этот адрес должен быть задан абсолютным URL); XML и XSL скармливаются XSLT Processor’у, результат записывается в файл с тем же именем, что и карта сайта XML, но с расширением .html.

Теперь при каждом построении карты сайта будет создаваться и HTML-версия.

Тем, кто любит патчи (патч кумулятивный, исправляет и некоторые другие недостатки плагина):

--- sitemap-core.php.orig 2010-08-16 10:49:16.000000000 +0300
+++ sitemap-core.php 2010-11-28 02:10:08.000000000 +0200
@@ -1654,9 +1654,9 @@
$this->AddElement(new GoogleSitemapGeneratorXmlEntry('<' . '?xml-stylesheet type="text/xsl" href="' . $styleSheet . '"?' . '>'));
}

- $this->AddElement(new GoogleSitemapGeneratorDebugEntry("generator=\"wordpress/" . get_bloginfo('version') . "\""));
- $this->AddElement(new GoogleSitemapGeneratorDebugEntry("sitemap-generator-url=\"http://www.arnebrachhold.de\" sitemap-generator-version=\"" . $this->GetVersion() . "\""));
- $this->AddElement(new GoogleSitemapGeneratorDebugEntry("generated-on=\"" . date(get_option("date_format") . " " . get_option("time_format")) . "\""));
+// $this->AddElement(new GoogleSitemapGeneratorDebugEntry("generator=\"wordpress/" . get_bloginfo('version') . "\""));
+// $this->AddElement(new GoogleSitemapGeneratorDebugEntry("sitemap-generator-url=\"http://www.arnebrachhold.de\" sitemap-generator-version=\"" . $this->GetVersion() . "\""));
+// $this->AddElement(new GoogleSitemapGeneratorDebugEntry("generated-on=\"" . date(get_option("date_format") . " " . get_option("time_format")) . "\""));

//All comments as an asso. Array (postID=>commentCount)
$comments=($this->GetOption("b_prio_provider")!=""?$this->GetComments():array());
@@ -2172,6 +2172,22 @@
$status->EndXml(true);
$pingUrl=$this->GetXmlUrl();
} else $status->EndXml(false,"Could not close the sitemap file.");
+
+ if (class_exists('XSLTProcessor', true)) {
+ $file = $this->GetXmlPath();
+ $styleSheet = ($this->GetDefaultStyle() && $this->GetOption('b_style_default') === true ? $this->GetDefaultStyle() : $this->GetOption('b_style'));
+ if (!empty($styleSheet)) {
+ $xsl = new DOMDocument();
+ $xsl->load($styleSheet);
+
+ $xml = new DOMDocument();
+ $xml->load($file);
+
+ $proc = new XSLTProcessor();
+ $proc->importStyleSheet($xsl);
+ $proc->transformToURI($xml, 'file://' . str_replace('.xml', '.html', $file));
+ }
+ }
}

if($this->IsGzipEnabled()) {
@@ -2514,9 +2530,9 @@
* @return int The time in seconds
*/
function GetTimestampFromMySql($mysqlDateTime) {
- list($date, $hours) = split(' ', $mysqlDateTime);
- list($year,$month,$day) = split('-',$date);
- list($hour,$min,$sec) = split(':',$hours);
+ list($date, $hours) = explode(' ', $mysqlDateTime);
+ list($year,$month,$day) = explode('-',$date);
+ list($hour,$min,$sec) = explode(':',$hours);
return mktime(intval($hour), intval($min), intval($sec), intval($month), intval($day), intval($year));
}

Очередная партия исправлений для Simple Tags

Vladimir — Thu, 28 Oct 2010 18:30:49 +0000

Cannot load st_mass_tags

Благодаря одному из своих читателей я узнал, что у плагина Simple Tags помимо проблем, которые я регулярно исправляю, есть еще одна: при попытке зайти в Posts » Mass edit terms » All Pages выдаётся сообщение Невозможно загрузить st_mass_tags.

Об ошибке автору сообщили на форуме поддержки, но так как автор в комментариях не отметился, пришлось исправлять плагин самостоятельно.

Как оказалось, всё дело в вызове add_posts_page(). Дело в том, что эта функция регистрирует страницу плагина в системе только для меню «Записи» (Posts). Ссылки «Все записи», «Черновики», «Опубликованные» работают нормально, так как в их основе /wp-admin/edit.php?page=st_mass_tags. А ссылка «Все страницы» (/wp-admin/edit.php?page=st_mass_tags&post_type=page) уже не работает — из-за post_type=page. А всё потому, что edit.php?post_type=page — это уже другое меню (Страницы/Pages), для которого add_posts_page() не работает. Для того, чтобы зарегистрировать страницу в этом меню, нужно использовать функцию add_pages_page().

Но при использовании add_pages_page() ссылка на страницу появится в меню «Страницы», а это, скорее всего, не совсем то, что хотел автор (фактически, у нас бы получилось два пункта «Mass Edit Terms» — один в меню записей, другой в меню страниц). Поэтому для чистого решения проблемы нужно проэмулировать работу функции add_pages_page(), но не создавать запись в меню.

Решение получается очень простым:

--- simple-tags/inc/admin.orig.php 2010-10-24 15:31:16.000000000 +0300
+++ simple-tags/inc/admin.php 2010-10-24 15:59:37.000000000 +0300
@@ -231,6 +231,17 @@
add_posts_page( __('Simple Terms: Mass Edit Terms', 'simpletags'), __('Mass Edit Terms', 'simpletags'), 'simple_tags', 'st_mass_tags', array(&$this, 'pageMassEditTags'));
add_posts_page( __('Simple Terms: Auto Terms', 'simpletags'), __('Auto Terms', 'simpletags'), 'simple_tags', 'st_auto', array(&$this, 'pageAutoTags'));
add_options_page( __('Simple Tags: Options', 'simpletags'), __('Simple Tags', 'simpletags'), 'admin_simple_tags', 'st_options', array(&$this, 'pageOptions'));
+
+ global $_registered_pages, $_wp_real_parent_file;
+ $menu_slug = plugin_basename('st_mass_tags');
+ $parent_slug = plugin_basename('edit.php?post_type=page');
+ if (isset($_wp_real_parent_file[$parent_slug])) {
+ $parent_slug = $_wp_real_parent_file[$parent_slug];
+ }
+
+ $hookname = get_plugin_page_hookname($menu_slug, $parent_slug);
+ add_action($hookname, array(&$this, 'pageMassEditTags'));
+ $_registered_pages[$hookname] = true;
}

/**

Специально для тех, у кого слово патч вызывает нехорошие мысли, я собрал исправленную версию плагина, в которой:

Устранена эта самая ошибка;
добавлена поддержка UTF-8 в автоматических ссылках;
оптимизирован вызов register_uninstall_hook();
исправлена проблема с локализацией (спасибо Analitik).

Скачать исправленный плагин Simple Tags 1.8.2.

Исправляем Simple Tags 1.8

Vladimir — Mon, 13 Sep 2010 03:44:50 +0000

Очередная порция патчей для Simple Tags

Традиционное исправление ошибок в плагине Simple Tags.

Ошибки всё те же:

Радует, что проблему с автоматическими ссылками меток автор всё же поправил Это то, ради чего данный плагин установлен.

Традиционный патч (unified diff):

diff -uwdBrN simple-tags.orig/inc/client.php simple-tags/inc/client.php
--- simple-tags.orig/inc/client.php 2010-08-11 10:37:39.000000000 +0300
+++ simple-tags/inc/client.php 2010-09-13 06:20:40.000000000 +0300
@@ -157,8 +157,9 @@
}

$filtered = ''; // will filter text token by token
- $match = "/\b" . preg_quote($term_name, "/") . "\b/".$case;
- $substitute = '( sprintf( __('Posts tagged with %s', 'simpletags'), $term_name ) )."\">$0";
+ $quoted = preg_quote($term_name, "/");
+ $match = '/(\PL|\A)(' . $quoted . ')(\PL|\Z)/u'.$case;
+ $substitute = '$1( sprintf( __('Posts tagged with %s', 'simpletags'), $term_name ) )."\">$2$3";

// for efficiency only tokenize if forced to do so
if ( $must_tokenize ) {
diff -uwdBrN simple-tags.orig/inc/inc.functions.php simple-tags/inc/inc.functions.php
--- simple-tags.orig/inc/inc.functions.php 2010-08-11 10:37:39.000000000 +0300
+++ simple-tags/inc/inc.functions.php 2010-09-13 06:16:05.000000000 +0300
@@ -4,6 +4,7 @@
*
*/
function SimpleTags_Install() {
+ register_uninstall_hook (dirname(__FILE__) . '/simple-tags.php', 'SimpleTags_Uninstall' );
$options_from_table = get_option( STAGS_OPTIONS_NAME );
if ( $options_from_table == false ) {
$options = (array) include( dirname(__FILE__) . '/default.options.php' );
diff -uwdBrN simple-tags.orig/simple-tags.php simple-tags/simple-tags.php
--- simple-tags.orig/simple-tags.php 2010-08-11 10:37:38.000000000 +0300
+++ simple-tags/simple-tags.php 2010-09-13 06:34:39.000000000 +0300
@@ -3,7 +3,7 @@
Plugin Name: Simple Tags
Plugin URI: http://redmine.beapi.fr/projects/show/simple-tags
Description: Extended Tagging for WordPress 3.0 ! Suggested Tags, Mass edit tags, Autocompletion, Tag Cloud Widgets, Related Posts, Related Tags, etc!
-Version: 1.8
+Version: 1.8.1
Author: Amaury BALMER
Author URI: http://www.herewithme.fr
Text Domain: simpletags
@@ -23,6 +23,7 @@
Contributors:
- Kevin Drouvin (kevin.drouvin@gmail.com - http://inside-dev.net)
- Martin Modler (modler@webformatik.com - http://www.webformatik.com)
+- Vladimir Kolesnikov (vladimir at extrememember dot com - http://blog.sjinks.pro)

Todo:
Both :
@@ -60,7 +61,6 @@

// Activation, uninstall
register_activation_hook(__FILE__, 'SimpleTags_Install' );
-register_uninstall_hook (__FILE__, 'SimpleTags_Uninstall' );

// Init ST
function simple_tags_init() {

И zip-архив для тех, кто патчи не любит: скачать исправленную версию плагина Simple Tags 1.8.

Core Control: лечим некорректное отображение методов в модуле cron

Vladimir — Fri, 10 Sep 2010 16:18:52 +0000

Патч для плагина Core Control для корректного отображения имён методов

Есть один замечательный плагин для разработчиков, называется Core Control. Данный плагин позволяет контролировать различные аспекты работы WordPress: транспорт HTTP (например, расширение PHP HTTP, cURL, потоки PHP и т.п.), протоколирование HTTP-запросов, контроль обновлений ядра, плагинов и тем, способы доступа к файловой системе, а также отображение запланированных задач.

Работая над одним плагином, в котором усиленно использовалось планирование заданий, мы столкнулись с проблемой, что cron-модуль плагина Core Control неправильно отображает запланированные задания, если задание представлено не обычной функцией, а методом класса:

К счастью, исправляется довольно легко.

--- core-control/modules/core_control_cron.php.orig 2010-09-10 09:20:08.000000000 -0400
+++ core-control/modules/core_control_cron.php 2010-09-10 09:31:38.000000000 -0400
@@ -138,8 +138,23 @@
if ( isset($GLOBALS['wp_filter'][$hook]) ) {
$functions = array();
foreach ( (array)$GLOBALS['wp_filter'][$hook] as $priority => $function ) {
- foreach ( $function as $hook_details )
- $functions[] = (isset($hook_details['class']) ? $hook_details['class'] . '::' : '') . $hook_details['function'] . '()';
+ foreach ( $function as $hook_details ) {
+ $hook = '';
+ $f = $hook_details['function'];
+ if (is_array($f)) {
+ if (is_object($f[0])) {
+ $hook = get_class($f[0]);
+ }
+ else {
+ $hook = $f[0];
+ }
+ $hook .= '::' . $f[1];
+ }
+ else {
+ $hook = $f;
+ }
+ $functions[] = $hook . '()';
+ }
}
echo '
Hooked functions: ' . implode(', ', $functions);
}

Google XML Sitemaps: убираем версию и сигнатуру из карты сайта

Wandering Soul — Mon, 23 Aug 2010 20:36:55 +0000

Осеннее обострение — убираем информацию о версии WordPress и плагина из карты сайта

После установки различных плагинов, отвечающих за псевдобезопасность сайта — например, путем сокрытия используемой версии WordPress, имён и версий установленных плагинов и т.п. — обычно выясняется, что они не могут справиться с Google XML Sitemaps: он как выдавал секретные данные о версии WordPress в карте сайта, так и продолжает их выдавать.

Очевидно, что это очень смущает людей, зацикленных на безопасности сайта.

К счастью, это лечится (во всех смыслах).

Открываем файл wp-content/plugins/google-sitemap-generator/sitemap-core.php, ищем такие строки:

$this->AddElement(new GoogleSitemapGeneratorDebugEntry("generator=\"wordpress/" . get_bloginfo('version') . "\""));
$this->AddElement(new GoogleSitemapGeneratorDebugEntry("sitemap-generator-url=\"http://www.arnebrachhold.de\" sitemap-generator-version=\"" . $this->GetVersion() . "\""));
$this->AddElement(new GoogleSitemapGeneratorDebugEntry("generated-on=\"" . date(get_option("date_format") . " " . get_option("time_format")) . "\""));

После чего комментируем эти строки. Либо используем патч:

--- sitemap-core.php.orig 2010-08-16 10:49:16.000000000 +0300
+++ sitemap-core.php 2010-08-23 20:02:06.000000000 +0300
@@ -1654,9 +1654,9 @@
$this->AddElement(new GoogleSitemapGeneratorXmlEntry('<' . '?xml-stylesheet type="text/xsl" href="' . $styleSheet . '"?' . '>'));
}

- $this->AddElement(new GoogleSitemapGeneratorDebugEntry("generator=\"wordpress/" . get_bloginfo('version') . "\""));
- $this->AddElement(new GoogleSitemapGeneratorDebugEntry("sitemap-generator-url=\"http://www.arnebrachhold.de\" sitemap-generator-version=\"" . $this->GetVersion() . "\""));
- $this->AddElement(new GoogleSitemapGeneratorDebugEntry("generated-on=\"" . date(get_option("date_format") . " " . get_option("time_format")) . "\""));
+// $this->AddElement(new GoogleSitemapGeneratorDebugEntry("generator=\"wordpress/" . get_bloginfo('version') . "\""));
+// $this->AddElement(new GoogleSitemapGeneratorDebugEntry("sitemap-generator-url=\"http://www.arnebrachhold.de\" sitemap-generator-version=\"" . $this->GetVersion() . "\""));
+// $this->AddElement(new GoogleSitemapGeneratorDebugEntry("generated-on=\"" . date(get_option("date_format") . " " . get_option("time_format")) . "\""));

//All comments as an asso. Array (postID=>commentCount)
$comments=($this->GetOption("b_prio_provider")!=""?$this->GetComments():array());

Теперь о том, почему это не спасает. Безопасность через сокрытие (security through obscurity) — это то решение, которое может защитить лишь от школьника. Дело в том, что версию WordPress можно определить по его «отпечаткам пальцев» — CSS-файлам, версиям используемых javascript-библиотек (jQuery, TinyMCE), даже по названиям картинок. Установленные плагины можно определять перебором, либо пользуясь путями к их CSS/JS-файлам, которые часто можно подсмотреть в исходном коде страницы.

Да и по большому счету, если известен эксплойт, поражающий какую-то конкретную версию WordPress, то его можно использовать и без предварительного знания версии WordPress — либо нет. Если мне известна уязвимость типа SQL injection attack для WordPress версии 2.3.1, проще автоматом ее прогнать по всем сайтам, чем сначала рыскать по ним в поисках версии.

Отсюда совет всем камрадам, страдающим паранойей: это — полумера, причем крайне неэффективная; используйте более эффективные решения.

Simple Tags 1.7.4.4: The New Bugs

Vladimir — Tue, 23 Mar 2010 14:04:55 +0000

Исправляем старые и новые ошибки

Сегодня наконец-то появилось время обновить старые плагины; в их числе оказался и Simple Tags. Честно говоря, версия 1.7.4.4 меня разочаровала: автор сломал автоматические ссылки меток. Теперь они не работают даже для английского языка.

Резюмируя: в данной версии нужно исправить:

автоматические ссылки меток;
поддержку многобайтовых символов в автоматических ссылках;
вызов register_uninstall_hook() при каждом обращении к блогу.

Проблема с автоматическими ссылками возникла из-за невнимательности автора:

$this->randomArray($this->link_tags);

//...

// only continue if the database actually returned any links
if ( isset($link_tags) && is_array($link_tags) && count($link_tags) > 0 ) {

Метод randomArray() теперь не возвращает массив (как это было в предыдущих версиях плагина), а изменяет тот массив, который передан ему в параметрах ($this->link_tags). Но если раньше результат $this->randomArray($this->link_tags) присваивался переменной $link_tags, то теперь эта переменная исчезла, и условие в if теперь всегда ложно.

Патч для плагина (unified diff):

diff -uwdBrN simple-tags/inc/client.php simple-tags.new/inc/client.php
--- simple-tags/inc/client.php 2010-03-23 14:01:55.000000000 +0200
+++ simple-tags.new/inc/client.php 2010-03-23 15:14:40.000000000 +0200
@@ -122,8 +122,8 @@
}

// Shuffle array
- $this->randomArray($this->link_tags);
-
+ $link_tags = $this->link_tags;
+ $this->randomArray($link_tags);

// HTML Rel (tag/no-follow)
$rel = $this->buildRel( $this->options['no_follow'] );
@@ -157,8 +157,9 @@
}

$filtered = ''; // will filter text token by token
- $match = "/\b" . preg_quote($term_name, "/") . "\b/".$case;
- $substitute = '( sprintf( __('Posts tagged with %s', 'simpletags'), $term_name ) )."\">$0";
+ $quoted = preg_quote($term_name, "/");
+ $match = '/(\PL|\A)(' . $quoted . ')(\PL|\Z)/u'.$case;
+ $substitute = '$1( sprintf( __('Posts tagged with %s', 'simpletags'), $term_name ) )."\">$2$3";

// for efficiency only tokenize if forced to do so
if ( $must_tokenize ) {
diff -uwdBrN simple-tags/inc/inc.functions.php simple-tags.new/inc/inc.functions.php
--- simple-tags/inc/inc.functions.php 2010-03-23 14:01:55.000000000 +0200
+++ simple-tags.new/inc/inc.functions.php 2010-03-23 15:09:06.000000000 +0200
@@ -4,6 +4,7 @@
*
*/
function SimpleTags_Install() {
+ register_uninstall_hook (dirname(__FILE__) . '/simple-tags.php', 'SimpleTags_Uninstall' );
$options_from_table = get_option( STAGS_OPTIONS_NAME );
if ( $options_from_table == false ) {
$options = (array) include( dirname(__FILE__) . '/default.options.php' );
diff -uwdBrN simple-tags/simple-tags.php simple-tags.new/simple-tags.php
--- simple-tags/simple-tags.php 2010-03-23 14:01:55.000000000 +0200
+++ simple-tags.new/simple-tags.php 2010-03-23 15:07:42.000000000 +0200
@@ -3,7 +3,7 @@
Plugin Name: Simple Tags
Plugin URI: http://redmine.beapi.fr/projects/show/simple-tags
Description: Extended Tagging for WordPress 2.8 and 2.9 ! Suggested Tags, Mass edit tags, Autocompletion, Tag Cloud Widgets, Related Posts, Related Tags, etc!
-Version: 1.7.4.4
+Version: 1.7.4.4.1
Author: Amaury BALMER
Author URI: http://www.herewithme.fr
Text Domain: simpletags
@@ -23,6 +23,7 @@
Contributors:
- Kevin Drouvin (kevin.drouvin@gmail.com - http://inside-dev.net)
- Martin Modler (modler@webformatik.com - http://www.webformatik.com)
+- Vladimir Kolesnikov - http://blog.sjinks.pro/

Todo:
Both :
@@ -55,9 +56,8 @@
require( STAGS_DIR . '/inc/tpl.functions.php'); // Templates functions
require( STAGS_DIR . '/inc/widgets.php'); // Widgets

-// Activation, uninstall
+// Activation
register_activation_hook(__FILE__, 'SimpleTags_Install' );
-register_uninstall_hook (__FILE__, 'SimpleTags_Uninstall' );

// Init ST
function simple_tags_init() {

Для тех, кто патчи не любит, есть исправленная версия плагина (из исходного архива также удалены скриншоты): скачать Simple Tags 1.7.4.4.1

Оптимизация All in One SEO Pack

Vladimir — Wed, 25 Nov 2009 05:35:33 +0000

Избавляемся от лишних запросов к базе данных

Как оказалось, плагин All in One SEO Pack — один из основных источников запросов к базе данных на блогах с большим количеством страниц (page). Всё дело в том, что в All in One SEO Pack есть одна неотключаемая особенность: он пытается переписать все ссылки, которые выводятся через функцию wp_list_pages() (обычно эта функция вызывается из заголовка или подвала темы и используется для создания меню).

Вообще переписывание ссылок — это отдельная история, заслуживающая отдельной статьи. Если вкратце, то плагин берёт метаданные из поста и заменяет ими title и текст ссылки.

Что характерно, если поле Title Attribute пустое, то All in One SEO Pack вообще затрёт title ссылки.

Проблема с запросами возникает из-за того, что All in One SEO Pack читает метаданные для каждой страницы, присутствующей в результате, который вернула функция wp_list_pages(). Если в меню тридцать страниц, то в результате получим тридцать лишних запросов к базе данных. Умножаем на количество показов страниц (страниц в широком смысле, а не в терминах WordPress) и получаем большую цифру.

К счастью, у проблемы есть решение. Я даже о нём писал — ещё год назад — Секреты update_postmeta_cache(): Способ увеличения производительности при чтении метаданных записей.

В файле all-in-one-seo-pack/all-in-one-seo-pack.php нужно заменить несколько строчек.

В районе 642 строки есть такой код:
1. if($aioseop_options['aiosp_enabled']){
2. add_action('wp_list_pages', 'aioseop_list_pages');
4. }
Нужно вместо add_action поставить add_filter:
1. if($aioseop_options['aiosp_enabled']){
2. add_filter('wp_list_pages', 'aioseop_list_pages');
4. }
А если функциональность с переписыванием title ссылок вообще не нужна, то вместо замены слова проще закомментировать всю строку.
Затем нужно найти функцию aioseop_list_pages():
1. // The following two functions copied entirely and modified slightly from Sarah G's Page Menu Editor, http://wordpress.org/extend/plugins/page-menu-editor/
2. function aioseop_list_pages($content){
3. $url = preg_replace(array('/\//', '/\./', '/\-/'), array('\/', '\.', '\-'), get_option('siteurl'));
4. $pattern = '/
5. ([^<]+)<\/a>/i';

return preg_replace_callback($pattern, "aioseop_filter_callback", $content);

}

и переписать её:

function aioseop_list_pages($content){
$matches = array();
if (preg_match_all('/

, $content, $matches)) {
update_postmeta_cache(array_values($matches[1]));
unset($matches);
$pattern = '/

([^<]+)<\/a>/i';
return preg_replace_callback($pattern, "aioseop_filter_callback", $content);
}

return $content;
}

Это поможет избавиться от лишних запросов.

Патч в формате unified diff (внимание, формат концов строк может различаться):

--- all_in_one_seo_pack.orig.php 2009-12-16 09:37:23.000000000 +0200
+++ all_in_one_seo_pack.php 2009-12-17 06:00:32.000000000 +0200
@@ -632,7 +632,7 @@
}

if($aioseop_options['aiosp_enabled']){
- add_action('wp_list_pages', 'aioseop_list_pages');
+ add_filter('wp_list_pages', 'aioseop_list_pages');
remove_action( 'wp_head', 'rel_canonical' );
}

@@ -688,11 +688,17 @@

// The following two functions copied entirely and modified slightly from Sarah G's Page Menu Editor, http://wordpress.org/extend/plugins/page-menu-editor/
function aioseop_list_pages($content){
- $url = preg_replace(array('/\//', '/\./', '/\-/'), array('\/', '\.', '\-'), get_option('siteurl'));
+ $matches = array();
+ if (preg_match_all('/

(\d+)/i', $content, $matches)) {
+ update_postmeta_cache(array_values($matches[1]));
+ unset($matches);
$pattern = '/

(\d+)([^\"]*)">([^\"]+)" title="([^\"]+)">([^<]+)<\/a>/i';
return preg_replace_callback($pattern, "aioseop_filter_callback", $content);
}

+ return $content;
+ }
+
function aioseop_filter_callback($matches) {
global $wpdb;
if ($matches[1] && !empty($matches[1])) $postID = $matches[1];

UPDATE: обновил патч, теперь он подходит для All in One SEO Pack 1.6.8.2 и поместил патч на форум поддержки.

Еще одна оптимизация NextGen Gallery

Vladimir — Mon, 23 Nov 2009 21:19:54 +0000

Минус один UPDATE при каждом обращении к блогу

Плагин NextGen Gallery имеет одну неприятную особенность: при каждом обращении к блогу выполняется обновление (UPDATE в терминах MySQL) таблицы wp_options. Хотя для «средних» блогов это не критично, для хорошо посещаемых ресурсов это плохо по ряду причин:

Обновление таблицы wp_options сбрасывает кэш запросов MySQL к таблице wp_options, что приводит к необходимости реального выполнения запросов на выборку данных (с учётом огромного количества записей — благодаря всяким разным плагинам — это лишний трафик между PHP и MySQL).
Выполнение операции обновления таблицы при использовании MyISAM приводит к блокировке таблицы; при высокой посещаемости это приводит к вынужденному ожиданию освобождения таблицы и негативно сказывается на нагрузке и производительности.
При использовании плагинов объектного кэширования каждый вызов update_option() приводит к необходимости обновления и записи кэша; обновление файлового объектного кэша приводит к лишним обращениям к диску (которых на виртуальных серверах лучше избегать).
В конце концов, это лишний запрос, который не является необходимым.

Использование плагина MySQL Monitor показывает:

Запрос:

UPDATE `wp_options` SET `option_value` = 'a:3:{i:0;b:0;s:29:\"nextgen-gallery/nggallery.php\";a:2:{i:0;s:9:\"nggLoader\";i:1;s:9:\"uninstall\";}...}' WHERE `option_name` = 'uninstall_plugins'
Трасса вызовов:

wp-includes/wp-db.php, 830 (DbProfile::query)
wp-includes/functions.php, 533 (wpdb::update)
wp-includes/plugin.php, 608 (update_option)
wp-content/plugins/nextgen-gallery/nggallery.php, 80 (register_uninstall_hook)
wp-content/plugins/nextgen-gallery/nggallery.php, 429 (nggLoader::nggLoader)
wp-settings.php, 566 (include_once)
wp-config.php, 84 (require_once)
wp-load.php, 30 (require_once)
wp-blog-header.php, 12 (require_once)
index.php, 17 (require)

Говоря простым языком, NextGen Gallery при каждой загрузке WordPress регистрирует функцию деинсталляции плагина. Таким образом, если мы имеем 25,000 показов страниц в день, это выливается в 25,000 (относительно медленных) запросов UPDATE к базе.

Проблема решается очень просто: вызов функции register_uninstall_hook переносится из конструктора nggLoader::nggLoader() (файл nextgen-gallery/nggallery.php) в самый конец функции nggLoader::activate() (за строку delete_option( 'ngg_update_exists' );).

Получаем простой патч:

--- nggallery.php.old 2009-11-23 22:06:09.000000000 +0200
+++ nggallery.php 2009-11-23 22:07:55.000000000 +0200
@@ -76,9 +76,6 @@
register_activation_hook( $this->plugin_name, array(&$this, 'activate') );
register_deactivation_hook( $this->plugin_name, array(&$this, 'deactivate') );

- // Register a uninstall hook to remove all tables & option automatic
- register_uninstall_hook( $this->plugin_name, array('nggLoader', 'uninstall') );
-
// Start this plugin once all other plugins are fully loaded
add_action( 'plugins_loaded', array(&$this, 'start_plugin') );

@@ -376,6 +373,8 @@
// remove the update message
delete_option( 'ngg_update_exists' );

+ // Register a uninstall hook to remove all tables & option automatic
+ register_uninstall_hook( $this->plugin_name, array('nggLoader', 'uninstall') );
}

function deactivate() {

WordPress 2.8 и плагин Post Templates

Vladimir — Thu, 06 Aug 2009 01:01:23 +0000

Патч, исправляющий ошибки в заброшенном плагине

WordPress 2.8 сказался не самым лучшим образом на плагине Post Templates от Vincent Pratt. На данный момент в плагине присутствуют несколько серьёзных ошибок, которую сводят его практическую пользу к нулю. Хуже всего, что автор, по-видимому, забросил плагин, и исправлять ошибки теперь некому.

Итак, имеются следующие ошибки:

Ошибка «You do not have sufficient permissions to access this page» при попытке создания нового шаблона или редактировании существующего (и еще в нескольких местах) — появилась в WordPress 2.8.1 в результате исправления этой уязвимости;
Fatal error: Maximum execution time of 30 seconds exceeded in /wp-includes/plugin.php on line 385 при заходе на страницу редактирования страниц (звучит-то как!);
невозможность сохранения шаблонов, так как отсутствует кнопка «Сохранить» (это если вы побороли первую ошибку, либо у вас WordPress 2.8).

Теперь о том, как это всё исправить. Я сначала хотел выложить отдельные патчи для каждой ошибки, но потом передумал и решил выложить патч целиком (как обычно, в формате unified diff):

diff -uwdBrN post-template/includes/edit-page-template-page.php post-template.my/includes/edit-page-template-page.php
--- post-template/includes/edit-page-template-page.php 2009-02-19 10:52:22.000000000 +0200
+++ post-template.my/includes/edit-page-template-page.php 2009-06-15 05:59:17.000000000 +0300
@@ -108,7 +108,7 @@

-

diff -uwdBrN post-template/includes/edit-post-template-page.php post-template.my/includes/edit-post-template-page.php
--- post-template/includes/edit-post-template-page.php 2009-02-19 10:52:22.000000000 +0200
+++ post-template.my/includes/edit-post-template-page.php 2009-06-14 12:15:35.000000000 +0300
@@ -110,7 +110,7 @@

-

diff -uwdBrN post-template/includes/managepages/managepages.php post-template.my/includes/managepages/managepages.php
--- post-template/includes/managepages/managepages.php 2009-02-19 10:52:22.000000000 +0200
+++ post-template.my/includes/managepages/managepages.php 2009-06-14 04:41:11.000000000 +0300
@@ -211,7 +211,7 @@

for( d in data ) {
for( e in data[d] ) {
- jQuery(''+data[d][e]+'').insertBefore('#page-'+d+'/td:nth-child('+position+')');
+ jQuery(''+data[d][e]+'').insertBefore('tbody/tr#page-'+d+'/td:nth-child('+position+')');
}
}
});
diff -uwdBrN post-template/includes/plugin-class.php post-template.my/includes/plugin-class.php
--- post-template/includes/plugin-class.php 2009-02-19 10:52:22.000000000 +0200
+++ post-template.my/includes/plugin-class.php 2009-08-06 03:28:42.000000000 +0300
@@ -155,6 +155,14 @@
add_options_page( __('Post Templates', POST_TEMPLATES_I18N_DOMAIN),
__('Post Templates', POST_TEMPLATES_I18N_DOMAIN), 0,
'post-template/includes/options-page.php' );
+
+ global $_registered_pages;
+ $file = plugin_basename('post-template/includes/import-page.php');
+ $hookname = get_plugin_page_hookname('post-template/includes/import-page.php', '');
+ $_registered_pages[$hookname] = true;
+ $file = plugin_basename('post-template/includes/help-page.php');
+ $hookname = get_plugin_page_hookname('post-template/includes/help-page.php', '');
+ $_registered_pages[$hookname] = true;
}

if ( current_user_can(POST_TEMPLATES_VIEW_TEMPLATES_CAP)
@@ -165,20 +173,20 @@
0,
'post-template/includes/manage-templates-page.php',
'',
- WP_CONTENT_URL . '/plugins/post-template/images/menu-icon.png' );
+ plugins_url('post-template/images/menu-icon.png') );

if (current_user_can(POST_TEMPLATES_CREATE_TEMPLATES_CAP)) {
add_submenu_page( 'post-template/includes/manage-templates-page.php',
__('New Post Template', POST_TEMPLATES_I18N_DOMAIN),
__('New Post Template', POST_TEMPLATES_I18N_DOMAIN),
0,
- 'admin.php?page=post-template/includes/edit-post-template-page.php' );
+ 'post-template/includes/edit-post-template-page.php' );

add_submenu_page( 'post-template/includes/manage-templates-page.php',
__('New Page Template', POST_TEMPLATES_I18N_DOMAIN),
__('New Page Template', POST_TEMPLATES_I18N_DOMAIN),
0,
- 'admin.php?page=post-template/includes/edit-page-template-page.php' );
+ 'post-template/includes/edit-page-template-page.php' );
}
}
}
diff -uwdBrN post-template/post-template.php post-template.my/post-template.php
--- post-template/post-template.php 2009-02-19 10:52:22.000000000 +0200
+++ post-template.my/post-template.php 2009-06-26 06:42:15.000000000 +0300
@@ -60,7 +60,7 @@
require_once(POST_TEMPLATES_DIR . '/includes/dashboard-widget-class.php');
require_once(POST_TEMPLATES_DIR . '/includes/post-templates-dao-class.php');
require_once(POST_TEMPLATES_DIR . '/includes/post-templates-shortcodes-class.php');
-require_once(POST_TEMPLATES_DIR . '/includes/managepages/managepages.php');
+//require_once(POST_TEMPLATES_DIR . '/includes/managepages/managepages.php');
//############################################################################

//############################################################################

Первый и второй блоки исправляют третью ошибку, третий блок исправляет ошибку, на которую пожаловался ChuckMcB, четвёртый и пятый блоки исправляют первую ошибку, шестой блок — вторую.

Скачать: