Веселенькая уязвимость WordPress-а позволяла сбросить пароль админа

Лого Wordpress-aДо чего только не доходят умы искателей уязвимостей в открытых кодах популярнейшего в рунете блог-движка Wordpress, на сей раз шалуны нашли прикольную уязвимость фичу. Критичного собственно ничего нет и защититься от нее не сложно, есть как минимум несколько способов, но об этом позже, сначала суть: уязвимость позволяет зайдя по ссылке определенного вида (http://[DOMAIN_NAME]/wp-login.php?action=rp&key[]=) сбросить пароль администратора блога, но не пугайтесь, никаких прав злоумышленники не получают - новый пароль генерируется и отправляется администратору на e-mail, но даже это может доставить хлопоты и прибавить седых волос. Вспомните какой почтовый ящик у вас указан в качестве администраторского для вашего блога, и как часто вы его проверяете? Дело в том, что если у человека много блогов, а есть и такие, то не факт что он сначала получит письмо, а потом пойдет в блог, очень может быть, что он попробует залогиниться, а ему там бац, не верный пароль, и снова и снова. Опять же прочитав почту он сможет зайти под новым паролем, но что будет если шутники-озорники настроят cron задание? Человеку не шибко разбирающемуся в wordpress такая ситуация доставит не мало хлопот.


Поэтому подсказываем пару рецептов:

1-й быстрый добавьте в wp-login.php всего одну строчку очищающую переменную action в том случае если она равна rp

2-й Обновите ваш WordPress проблема решена начиная с версии 2.8.4


Удачного вам блоггинга, помните об уязвимостях, читайте о них, и знайте как защититься.

на главную



Архив работы

agplr
2009-03-27 23:29:20
agplr.org.ua
Газпромпроект
2009-03-27 23:26:11
gpp.com.ua


agropartner
2009-03-27 23:23:00
/agropartner/
Британка немного о кошках
2009-02-26 22:55:47
britanka.com.ua
ФФЕА
2009-01-23 19:45:26
ffea.crimea.ua
ПППЛ
2008-12-22 00:43:02
pppl.org.ua
ООО АССА-В
2008-12-22 00:00:13
assa-v.com.ua