Hackearon Wordpress.org

  • Autor Autor blog
  • Fecha de inicio Fecha de inicio
blog

blog

Mi
Verificación en dos pasos activada
¡Usuario con pocos negocios! ¡Utiliza siempre saldo de Forobeta!
Fuente WordPress › Blog

Earlier today the WordPress team noticed suspicious commits to several popular plugins (AddThis, WPtouch, and W3 Total Cache) containing cleverly disguised backdoors. We determined the commits were not from the authors, rolled them back, pushed updates to the plugins, and shut down access to the plugin repository while we looked for anything else unsavory.

We’re still investigating what happened, but as a prophylactic measure we’ve decided to force-reset all passwords on WordPress.org. To use the forums, trac, or commit to a plugin or theme, you’ll need to reset your password to a new one. (Same for bbPress.org and BuddyPress.org.)

As a user, make sure to never use the same password for two different services, and we encourage you not to reset your password to be the same as your old one.

Second, if you use AddThis, WPtouch, or W3 Total Cache and there’s a possibility you could have updated in the past day, make sure to visit your updates page and upgrade each to the latest version.


EN conclusion se les han metido y ahora todos corremos peligro. Alguno a actualizado ayer=?
 
Mala noticia, cuál es el paso a seguir ahora?
 
Gracias por la info, mas vale que no uso wordpress 🙂
 
Y borraron todos los passwords los hijos de su pink-floyd!!!!

Ya no puedo entrar a mi cuenta y no me llega el correo!

Arggg!!!!
 
Muy mala noticia, en verdad es cosa preocupante el hecho de que puedan hackear una pagina que en teoria deberia estar mas que reforzada en el aspecto de seguridad web, mal, muy mal !
 
Bueno concuerdo con abel esa pagina debería estas mas que reforzada, pero bueno eso demuestra que los hakers están a punto de dominar el mundo XDD(broma)xd.

Saludos y buena info
 
No, pero a ver... lo que pasó fue que hicieron commits, es decir enviaron cambios al código fuente de varios plugins, con código malicioso, no hackearon nada.

Cuando un desarrollador hace código en el modelo bazar, usa programas que controlan los cambios, como subversión, git, y otros. En wp.org cualquiera puede enviar cambios y por lo general se aprueban muy rápido. Eso paso, mandaron código con trampas, lo aprobaron sin revisar. Cuando se dieron cuenta retiraron los cambios, dejando solo los envios de los autores (este proceso se llama rollback).

Sus wordpresses están seguros, no le ha pasado nada. El código del wordpress está seguro no les ha pasado nada. A los que tenemos cuenta de desarrollador o en los foros, nos borraron la contraseña y tenemos que iniciar el proceso para solicitar otra, aqui: WordPress › Support

Si no les llega el correo o cambiaron de dirección, tienen que escribir a pw-reset-2011(arroba)wordpress.org
 
Yo actualize W3 Total cache ayer creo...
Bueno haber que pasa, que se recomienda ahora?
 
Lo único es que si actualizaste ese día que subieron los plugins maliciosos, pues recomiendan volver a actualizar a la versión más reciente que ya no debería tener backdoors ni nada de eso 😛
 
Me quedo con la duda...

Cual es entonces el problema con los plugins: W3 total cache, AddThis, y WPtouch.

Alguien sabe?
 
Yo pude cambiar mi contraseña de manera muy sencilla. De paso vi que estoy a punto de cumplir 5 años con ese perfil 😛
 
felizmente no soy de actualizar mis plugins =D
 
entonces desisntalo el w3 total cache?
 
Que alguien explique que hay que hacer si hemos actualizado por favor.
 
Última edición:
Que alguien explique que hay que hacer si hemos actualizado por favor.

Si ayer o antier actualizaste uno de los plugines afectados, podrás actualizarlos nuevamente. En automático, como es lo usual.
Si tienes una cuenta en wordpress.org, bbPress.org y BuddyPress.org solicitas una nueva contraseña: WordPress › Support
 
Si ayer o antier actualizaste uno de los plugines afectados, podrás actualizarlos nuevamente. En automático, como es lo usual.
Si tienes una cuenta en wordpress.org, bbPress.org y BuddyPress.org solicitas una nueva contraseña: WordPress › Support

No tengo ninguna cuenta. Pero en automático no me dice que haya ninguna actualización nueva.
 
Estoy pero si bien pabendabejabo... le escribí a Andrew para que me cambiara mi cuenta y me contesta que tengo registrada otra cuenta y no en la que estaba esperando el correo.

Cuak... llevo toda la mañana pidiendo el reset y tengo 15 correos esperando =D
 
Lo único es que si actualizaste ese día que subieron los plugins maliciosos, pues recomiendan volver a actualizar a la versión más reciente
 
Atrás
Arriba