dragoncrawl

@flower33

Danke für deinen Einsatz 🙂

Hier mal meine Livesite .htaccess

# BEGIN WordPress

########## Mod Rewrite
#
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
#
##########

########## nur http://www.xyz.de Variante um Duplicate Content zu vermeiden
#
RewriteCond %{HTTP_HOST} !^www\.xyz\.de$
RewriteRule ^(.*)$ http://www.xyz.de/$1 [L,R=301]
#
##########

##########
#
<Files wp-login.php>
AuthType Basic
AuthName "Admin-Bereich"
AuthUserFile /www/htdocs/xyz/.htpasswd
Require valid-user
</Files>
#
##########

##########
#
<Files xmlrpc.php>
AuthType Basic
AuthName "Admin-Bereich Android"
AuthUserFile /www/htdocs/xyz/.htpasswd
Require valid-user
</Files>
#
##########

######### XML-RPC Schnittstelle abschalten
#
<IfModule mod_setenvif.c>
  <Files xmlrpc.php>
    BrowserMatch "wp-android" allowed
    Order Deny,Allow
    Deny from All
    Allow from env=allowed
  </Files>
</IfModule>
#
##########

########## Prevent Directory Listings
#
Options -Indexes
#
##########

########## Error-Log auf xyz.de aktivieren
#
#php_flag log_errors on
#php_value error_log "/www/htdocs/xyz/logs/error/php_errors.log"
#
##########

########## Zugriff von außen auf wichtige Dateien im Rootverzeichnis verbieten (Error-Log bei Aktivierung hinzufügen)
#
<FilesMatch "(\.htaccess|\.htpasswd|wp-config\.php|liesmich\.html|readme\.html|license\.txt)">
  Order deny,allow
  Deny from all
</FilesMatch>
#
##########

########## Bild Hotlinking unterbinden
#
RewriteEngine on
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?xyz.de [NC]
RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?xyz.de [NC]
RewriteRule \.(jpg|jpeg|png|gif)$ http://i.imgur.com/g7ptdBB.png [NC,R,L]
#
##########

########## Include Only Dateien blocken.
#
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]
</IfModule>
#
#########

########## PHP-Fehlermeldungen unterdrücken
#
php_flag display_errors Off
#
##########

########## Keine URL based Exploits zulassen
#
RedirectMatch 403 \[
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
#
##########

########## Double Slashes in allen URLs verbieten
#
RewriteCond %{THE_REQUEST} ^[A-Z]+\ /(([^/\ ]+/)*)/+([^\ ]*)
RewriteRule ^ /%1%3 [L,R=301]
</IfModule>
#
##########

########## Magic Quotes ausschalten
#
php_flag magic_quotes_gpc Off
#
##########

# END WordPress

Es ist ein Hotlinkingschutz aktiviert, aber dieser gilt sowohl für JPG als auch für PNG. In der XAMPP .htaccess ist dieser Abschnitt aber nicht enthalten, sondern nur das standardmäßige

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>

Daran kann es eigentlich nicht liegen („eigentlich“, weil ich keine Ahnung habe woran es liegt). Die PNG’s und JPG’s unterscheiden sich nicht relevant. Ich habe es mit an sich gleichen Bildern probiert, die unter 100 KB groß sind und im Dateinamen keine Sonderzeichen, etc.. enthalten.

Ich werde deinen Rat befolgen und mal eine jungfräuliche WordPressinstallation unter XAMPP aufsetzen und schauen was dann passiert.

Ich werde berichten.

@flower33

Danke für deinen Tipp, auch wenn er letztlich nicht passte.

Da ich mir die Changelog der 4.5.2 angeschaut und gesehen habe, dass dort explizit eine Sicherheitslücke im Upload geschlossen wurde

„WordPress 4.5.1 sowie vorherige Versionen sind von einigen Schwachstellen durch die Third-Party-Bibliothek Plupload betroffen, die WordPress nutzt, um Dateien hochzuladen. WordPress 4.2 bis 4.5.1 haben eine XSS-Sicherheitslücke, die durch spezielle, von der Third-Party-Bibliothek MediaElement.js erstellten URIs hervorgebracht wird. MediaElement.js und Plupload haben ebenfalls Sicherheits-Updates veröffentlicht, die diese Lücken schließen.“

WordPress 4.5.2 Sicherheits-Release

wird dieser Fehler höchstwahrscheinlich durch den Fix verursacht worden sein. Daher warte ich jetzt einfach mal die Version 4.5.3 ab. Dringend ist das Problem für mich jetzt nicht, da PNG-Dateien ja zum Glück ganz normal funktionieren.