Kurz vor dem Wochenende gab es auf WPMU schon mal einen schönen Artikel zu dem Thema: Why You Should Never Search For Free WordPress Themes in Google or Anywhere Else. heute bin ich über eine Free-Theme von WordPress gestolpert an dem sich diese und noch einige andere Probleme recht schön verdeutlichen lassen.

Das betreffende Theme hört auf den Namen „The Avatar Movie WordPress Theme Template“ und steht hier zum kostenlosen Download bereit. Bevor jetzt aber die ersten den Link anklicken und das Theme downloaden bitte erst noch weiter lesen.

Rechtliches

Gerade bei solchen Film- oder Spiel-Templates habe ich immer etwas Bauchschmerzen. Der Macher des Templates mag des Theme zwar kostenlos anbieten, das heißt aber nicht, dass er auch für alle verwendeten Grafiken das Recht hat diese weiter zu verteilen. Bei Avatar kann ich mir vorstellen, dass auf den Charakteren und dem Logo (das auch im Template auftaucht) Schutzrechte liegen, die wahrscheinlich vom Studio oder den Produzenten gehalten werden. Wer das Template einsetzt könnte es also im schlechtesten Fall direkt mit einer Rechtsabteilung der Produktionsfirma zu tun bekommen. Wirklich checken lässt sich im Vorfeld auch nicht welche Grafiken verwendet werden dürfen. Mir persönlich wäre der Einsatz damit zu risikoreich.

Ein zweiter Punkt sind die verwendeten Lizenzen:

„This work is under Creative Commons Attribution-Share Alike 3.0 License, This means you may use it and make any changes you like, However, credit links must remain on footer for legal use, Please Share This Article if You like it.“

Das Werk steht unter einer CC BY SA Lizenzen. Zwar darf der Lizenzgeber bestimmen, wie die Namensnennung zu erfolgen hat, eine Link zu einer anderen Seite als der Lizenzseite darf aber nicht vorgeschrieben werden. Dazu bestehen die Links im Footer nicht nur aus einem Link:

<a href="http://www.free-wordpress-theme.net">Avatar by Vee</a>
designed by
<a href="http://www.screensleuth.com/">Buy TV</a>.
Code by
<a href="http://mmohut.com/">Free MMORPG</a> |
<a href="http://cheapufctickets.net/">UFC Tickets</a> |
<a href="http://www.exportimportusa.net/">USA Export Import</a>.<br />
Downloaded From <a href="http://www.template4all.com/wordpress/" title="Free WordPress Themes" target="_blank">Free WordPress Themes</a> | <a href="http://www.freethemes4all.com/" title="Free Website Templates" target="_blank">Free Website Templates</a> | <a href="http://www.bestnewslinks.info" title="News Magazines" target="_blank">News Magazines</a>

(aus der footer.php)

Insgesamt 8 Link werden hier verbraten, teilweise extrem themenfremd. Nicht nur im Bereich der Lizenz würde ich hier ein Problem sehen, wer solche Linkblöcke im Footer stehen lässt schreit faktisch um eine Abstrafung wegen gekaufter Links.

In Sachen Sicherheit

Ein kleiner Blick in die functions.php offenbart, dass hier mit interessanten Methoden gearbeitet wird:

eval(str_rot13('shapgvba purpx_sbbgre(){
$y=\'Ningne ol Irr
qrfvtarq ol
Ohl GI.
Pbqr ol
Serr ZZBECT |
HSP Gvpxrgf |
HFN Rkcbeg Vzcbeg. \';
$s=qveanzr(__SVYR__).\'/sbbgre.cuc\';$sq=sbcra($s,\'e\');
$p=sernq($sq,svyrfvmr($s));spybfr($sq);
vs(fgecbf($p,$y)==0){rpub \'Guvf gurzr vf eryrnfrq haqre perngvir pbzzbaf yvprapr, nyy yvaxf va gur sbbgre fubhyq erznva vagnpg\';qvr;}}purpx_sbbgre();'))

Das ganze sieht nach einer Rotation von versteckten Links aus, die irgendwo im Block auftauchen werden. Am Ende der Datei kommt dann noch ein weiterer verschlüsselter Code:

eval(str_rot13('shapgvba purpx_s_sbbgre(){vs(!(shapgvba_rkvfgf("purpx_sbbgre")&&shapgvba_rkvfgf("purpx_urnqre"))){rpub(\'Guvf gurzr vf eryrnfrq haqre perngvir pbzzbaf yvprapr, nyy yvaxf va gur sbbgre fubhyq erznva vagnpg\');qvr;}}purpx_s_sbbgre();'));

Den gleichen Code findet man auch in der header.php:

eval(str_rot13(’shapgvba purpx_s_sbbgre(){vs(!(shapgvba_rkvfgf(„purpx_sbbgre“)&&shapgvba_rkvfgf(„purpx_urnqre“))){rpub(\’Guvf gurzr vf eryrnfrq haqre perngvir pbzzbaf yvprapr, nyy yvaxf va gur sbbgre fubhyq erznva vagnpg\‘);qvr;}}purpx_s_sbbgre();‘));

Bei solchen Codeblöcken habe ich immer massive Bauchschmerzen. man weiß nie, was genau da im Blog gemacht wird und es besteht durchaus die Möglichkeit, dass hier auch noch Datein nachgeladen werden, man also dem Macher einen einfachen Zugriff auf den eigenen Blog gibt.

Daher mein Rat bei so was: Solche Zeilen am besten ganz entfernen und besser noch ganz die Finger weg von solchen Templates die nur dafür gebaut sind um Links zu verteilen.