Zdalne wykonanie kodu w Wordpressie odkryte przez Polaka

Pod kontrolą WordPressa działa przynajmniej co czwarta strona w internecie (w tym także nasza). Nasz rodak, Dawid Gołuński, odkrył i opublikował sposób na zdalne przejęcie kontroli nad każdym z tych serwisów.

[aso824]

@stefan-szusterman: to się pośpiesz, bo do jutra wszystkie podatne strony będą już leżeć ( ͡° ͜ʖ ͡°)

[asddsa123]

Jeśli ktoś zaktualizował WordPressa w roku 2017 to może spać spokojnie.

[Victor_Manzon]

@asddsa123: jeśli nie, to pownie i tego nie czyta ( ͡° ͜ʖ ͡°)

[JestemKaspi]

@Victor_Manzon: na szczescie wordpress od dlugiego czasu aktualizuje sie sam ;)

[RRybak]

Od pierwszego maja serwer mi zaczął wysyłać dziwne spamy, nadużywać sendmaila itp. Parę godzin namierzałem i łatałem od strony systemu, po czym stwierdziłem, że łatwiej wyłączyć parę serwisów i kont i zablokować całe katalogi z pewnie niewykorzystanymi pluginami WP. Ludzie od strony mają w dupie moje komentarze i uwagi, aż w końcu jebło. Dzisiaj zrobię ładny dym przy zarządzie..

[paki82]

Ma chlop skilla

[Sinti]

Dawid połączył błąd w PHPMailerze, omijając filtry WordPressa i walidację PHPMailera a także ograniczenia nagłówków HTTP, wykorzystał niszowy element RFC i wewnętrzne zmienne Exima.

Podstawówka.

[Gieekaa]

Czy nasz rodak dostanie jakieś profity za to odkrycie od WP?

[BlazonedWalls]

@Gieekaa dostanie wielkie soczyste nic

[WaveCreator]

@Gieekaa: Jakby WP miał płacić za każdy znaleziony błąd bezpieczeństwa, to by musieli mieć budżet na poziomie Google ( ͡° ͜ʖ ͡°)

[mielon]

Naszczęście regularnie aktualizuje i robie kopie , bo nigdy nie wiadomo( ͡º ͜ʖ͡º)

[stanulam]

Nie na darmo Polacy są w czołówce światowego programowania

[sing]

Pod kontrolą WordPressa działa przynajmniej co czwarta strona w internecie (w tym także nasza).

@darosoldier, ale wiesz, że opis możesz edytować? Bo trochę się zdziwiłem, kiedy przeczytałem, że wykop jest oparty na WP.

[flircik]

Kto loguje błędy (np. w Zendzie o brakach akcji), to regularnie wpada "/wordpress/wp-login", więc skanowanie wordpresów trwa już od dawien dawna - luka zapewne szeroko znana:) Swego czasu otrzymywałem regularnie spam o podobnej treści tylko za każdym z innej domeny. Z ciekawości wszedłem na jedną z tych domen - i widzę wordpress i jakaś stronka kwiaciarni lub czegoś innego. Więc posiadając wordpressa można się obudzić z zarzutem spamowania internetów. Moim zdaniem jego

[mosqua]

@flircik: na wszelakich stronach mam loger zapytań - nigdy nie miałem WP ale nawet z zwykłym landingpage lecą requesty typu wp-login SIC!