Huete Nacht wurde in der Movable Type ProNet Liste ein ernsthaftes Sicherheitsproblem diskutiert, das alle Versionen von Movable Type betrifft:
I think the default MT 3.14 has this serious flaw. If people can find your comment scripts and enter their own From: address then they can spoof a To: and send spam from your MT installation. [..]
It’s a bit hard for me to pick out exactly where the mail headers get set in MT… But the ‚is_valid_email‘ function, which presumably checks to see that an address is legit, is corruptable like so. If the form is allowed to set the „To“ (or Cc or Bcc) header at all, and the program is using is_valid_email to check it, then it’s easily hijacked by spammers simply by adding line breaks and 5000[etc] more email addresses after the first one.
Durch diese Lücke war es möglich über die in MT integrierte E-Mail Funktion Spam Mails unter der Absenderadresse des Blogbetreibers und unter Nutzung der Infrastruktur des Providers große Listen von Empfängern zu beschicken. Gefährlich. Aber Sixapart hat innerhalb von wenigen Stunden reagiert und ein Update auf die Version 3.15 bereitgestellt.
