Cómo protegerse de la vulnerabilidad Timthumb en WordPress

Kevineitor10 dijo:

Leyendo un blog francés, fui a parar con esta noticia que os traduzco con mi francés 🙂 :

Timthumb.php es una biblioteca que numerosos themes de WordPress utilizan para el redimensionamiento automático de las imágenes. El problema es que hay un fallo que permite a los hackers ejecutar un código PHP a partir del repertorio oculto de Timthumb.

Nada gracioso y peligroso !

Para protejeros de este fallo, conectaros a vuestro servidor y buscad el fichero timthumb.php. En general, están en el repertorio de script del tema que utilizáis. Podéis localizarlo más facilmente con el siguiente comando:

find . -name ‘timthumb.php’

Una vez se haya encontrado el fichero Timthumb.php, editadlo y cambiad la linea 27 de esto:

$allowedSites = array (
'flickr.com',
'picasa.com',
'blogger.com',
'wordpress.com',
'img.youtube.com',
'upload.wikimedia.org',
);

a esto:

$allowedSites = array ();

Y ya está, ya no hay ningún riesgo (bueno, hasta la próxima).

Attention à la faille Timthumb pour Wordpress | Korben

Hacer clic para expandir...

kaehana dijo:

Para la vulnaviridad de timthumb existe un plugin que te revisa tu theme, te dice si estas vulnerable.

WordPress › Timthumb Vulnerability Scanner « WordPress Plugins

Hacer clic para expandir...

Science dijo:

De hecho, los themes de Gabfire usan Timthumb y a mi me hackearon un sitio instalando un phpmailer y varias patrañas más para generar spam desde mi servidor. Ahora uso themes de propia creación. Las nuevas versiones de Wordpress ya incluyen los thumbnails, y si se cambia el tamaño sólo hay que instalar Regenerate Thumbnails para que todos tengan el nuevo tamaño que le hayamos indicado.

Sobre lo que comentas, [MENTION=21765]krvaM[/MENTION] cuando yo lo usaba tenía que poner la URL de la ubicación de las imágenes en la configuración de cada imagen, sino simplemente no se mostraban. Aparecía la imagen pequeña de imagen no encontrada. Ojalá alguien sepa algún método automático para hacer eso.

Hacer clic para expandir...

krvaM dijo:

Claro ahora mismo estoy haciendo eso, pero es cansador.
A lo que decias mas arriba dijiste que las nuevas versiones de wordpress ya incluyen thumbnails, dices los nuevos themes o la ultima version de wordpress?

Hacer clic para expandir...

add_theme_support( 'post-thumbnails' );

// check if the post has a Post Thumbnail assigned to it.
if ( has_post_thumbnail() ) {
	the_post_thumbnail();
} 
the_content();

.wp-post-image{
(los estilos que queramos poner)
}

// Thumbnails en el loop
if (function_exists('add_theme_support')) {
add_theme_support('post-thumbnails');
add_image_size('custom-thumbnail', 70, 70, true );
}

<a href="<?php the_permalink(); ?>" title="<?php printf( esc_attr__( 'Permalink to %s', 'twentyten' ), the_title_attribute( 'echo=0' ) ); ?>"><?php the_post_thumbnail('custom-thumbnail'); ?></a>