Luka w WordPress pozwala na zresetowanie hasła administratora

W module logowania popularnego CMS-a WordPress znaleziono poważną lukę. Pozwala ona atakującemu na zresetowanie hasła administratora.

[Burzasty]

My name is Luka...

[Eklektyk]

I live few clicks from you

Yes, I think you've seen me before

[adamale]

...I live right in your code...

[OMG]

http://www.emo-portal.pl/wp-login.php?action=rp&key[]=

Tu nie działa, psia mać.

[R.....X]

Chyba działa, bo nie działa.

[OMG]

Ktoś rozwalił Emo Portal! Idę się pociąć. :(

[m.....i]

Tureccy "hakerzy" znowu zaczną uderzać :)

[breeder]

"Turku kończ ten mecz!" :)

[vaultboy]

Niestety z blogiem waldka nie działa :P

[H.....u]

za to z antyweb.pl tak:

http://antyweb.pl/wp-login.php?action=rp&key[]=

[Widmo]

no... i nie powstala by ani jedna modyfikacja...

a ja bym nie zainstalowal u siebie bo nie wiesz, czy progrmisci sobie furtki nie zostawili...

[koziolek666]

Już jest poprawka do pobrania. Zresztą wyszła ogromna zaleta softu o otwartym kodzie. Wczoraj błąd dziś poprawka niech komercyjny kod będzie tak szybko łatany to pogadamy o płaceniu.

[koziolek666]

@tv2, tak, ale poprawka już jest i nie muszę na nią czekać na nią jak na nabożeństwo za zmarłych na pierwszy piątek miesiąca czy inny pierwszy wtorek. Wyobraź sobie sytuację, w której managerowie stwierdzą, że tą poprawkę wprowadzi się zgodnie z planem wydawniczym czyli za dwa trzy miesiące. Byle małpa spłodzi wtedy skrypt i korzystając z listy zarejestrowanych blogów wykona masowe wyłączenie haseł. Poprawka nie ważne czy mała czy duża

[tv2]

Wybacz, ale to nie była luka, która wymagałaby nie wiadomo ilu poprawek w kodzie.

[fantom]

Przetestowałem na swoim blogu. Faktycznie luka jest, zresetowałem hasło i nie mogłem się dostać do swojego konta. Na szczęście szybko można ustawić nowe jeśli ma się dostęp do swojej bazy danych lub serwera ftp poprzez plik emergency.php. (http://codex.wordpress.org/Resetting_Your_Password)

[S.....o]

Jak to się dostanie na główną, to będzie ciekawie :D

[g.....i]

jak ktoś jest głupi i nie robi backupów to rzeczywiście zdarzyć się może że pojawi się kłopot któregoś dnia...

[L.....n]

I poprawka jest http://wordpress.org/development/2009/08/2-8-4-security-release/

[breeder]

Nowe hasło jest wysyłane. Poprawcie w tekście.

[H.....u]

@breeder

dla ludzi troche obytych w temacie logiczne jest ze stwierdzenie resetowanie hasla oznacza generowanie nowego

[H.....u]

@breeder

rozumiem cie, ale ja tylko dodalem wykop, nie jestem autorem artykulu i nie mam nic wspolnego z webhosting.pl wiec nie rozumiem o co te pretensje do mnie