Okazuje się, że z poziomu autora, który może publikować wiadomości w ciągu kilku minut (lub po zautomatyzowaniu ataku – kilku sekund) można uzyskać dane z bazy, na przykład hasła (zaszyfrowane) użytkowników.
Wczoraj zachęcałem do aktualizacji systemów WordPress do wersji najnowszej 3.0.2. Dziś po krótkich testach (przepraszam za śmieci testowe na bothunterspl.blip.pl itp.) sugeruję szybszą aktualizację. Na szybkiego zmieniłem zaktualizowany już nie podatny plik do wersji poprzedzającej aktualizację, przekonfigurowałem serwer WWW i ustawienia PHP do bardziej cywilizowanych (czytaj mniej bezpieczniejszych) i wykonałem kilka testów poprawionej luki. Okazuje się, że faktycznie z poziomu autora, który może publikować wiadomości w ciągu kilku minut (lub po zautomatyzowaniu ataku – kilku sekund) można uzyskać dane z bazy, na przykład hasła (zaszyfrowane) użytkowników. Mam wrażenie, że w tej materii usłyszymy jeszcze i będzie głośno o masowych atakach w silnik WordPress. Zaznaczę, że szczegółowy opis tego ataku można znaleźć już w sieci pod adresem http://blog.sjinks.pro/wordpress/858-information-disclosure-via-sql-injection-attack/ Sugeruję szybsze łatanie i chyba będzie wrzało :]
PS: Przyjrzyjcie się tekstowi z reklamy ;]]]
Całe szczęście, że nie korzystam z haseł, chociaż OpenID też stwarza pewne zagrożenia.
Ja się zastanawiam, dlaczego kod WordPressa wygląda jakby go stworzyli w poprzednim stuleciu. Czy oni nie słyszeli o MVC?
Takie dziwne, ze jak os-komuna cos popelni to wyglada to jak psu z gardla wyszarpane?
Pokaż nam kod, który jest ładny, schludny, czytelny i wspaniały oraz nie jest otwarty ;D
No, ja taki robię. Ale nie pokarzę, bo kod jest zamknięty.
Patch zaaplikowany już na OSnews 🙂
To jeszcze zapytaj się, czy ktoś tego wcześniej nie przetestował 😉
A JakiLinux i OSBlog? (-;
Też.
To chyba Microsoft wtopił migrując swoje blogi na OpenSource, może i bardziej funkcjonalne ale dziurawe jak sito.
Troll lol.
LOL zaklinacz, rzeczywistości
Jeśli ten kod wygląda jak Twoja ortografia, to współczuję.
Na news to to nie wygląda, ale bardzo dobrze, że się pojawiło.
Ja mam dziesięć Ferrari z grafenu, ale nie pokażę bo nie.