Távoli admin jelszó alaphelyzetbe állítást tesz lehetővé egy WordPress sebezhetőség

Címkék

A WordPress névre hallgató, kedvelt blogmotor legfrissebb stabil verziója (<= 2.8.3) egy olyan sebezhetőséget tartalmaz, amely lehetővé teszi a távoli támadó számára az adminisztrátori jelszó reset-elését. A hiba kihasználásához csak az "elveszett jelszó" linket kell speciálisan formázni. A hibát Laurent Gaffié jelentette be tegnap. Levele az PoC példával elolvasható itt. Először a bejelentés még arról szólt, hogy a hibát ki lehet használni az admin account feltöréséhez, de később a bejelentő "javította" magát és módosította a "to compromise"-ot, "to reset"-re.

A bejelentés pillanatában javítás még nem volt elérhető a WordPress projekttől.

Hozzászólások

A következő HOVDon már másra szavazok. Nem emiatt...

de később a bejelentő "javította" magát és módosította a "to compromise"-ot, "to reset"-re.

Miért, a "to reset" nem jelent ezesetben "to compromise"-t is?

En elfogult Wordpress felhasznalo vagyok, tobb eve hasznalom is, es szerintem nagyon jol fejlesztik. Hibak mindig minden programban vannak, ez szinte termeszetes. Es addig jo, ameg bejelentik ezeket es javitjak, nem sajat hasznara forditja a felfedezo.

Kéne egy opció a wordpressbe az elfelejtett jelszó funkció tiltására. Tudomásom szerint jelenleg csak hackeléssel kapcsolható ez ki.

És mi van, ha valaki poénból állandóan új jelszót kér?

Nem kell elfelejteni a jelszót, ilyen egyszerű.

Bexoptam én is, de valóban "csak" resetről van szó. Az új jelszó a beállított mail fiókba érkezik.

Ja, és nálam 2.8 -nál sikerült.

********************
"...ha nem tévedek!" (Sam Hawkens)
http://holo-media.hu

Az admin felhasználóneve admin (by default, nem tudom, hogy megváltoztatható-e). A generált jelszót pedig nem kapja meg a támadó, mivel az az admin mail fiókjába postázódik, ha megfelelően be van állítva.

********************
"...ha nem tévedek!" (Sam Hawkens)
http://holo-media.hu