Nueva vulnerabilidad en WordPress: cómo proteger tu sitio

  • Autor Autor alex
  • Fecha de inicio Fecha de inicio
alex

alex

1
Zeta
Programador
Verificación en dos pasos activada
Verificado por Whatsapp
Suscripción a IA
Copio y pego de http://arturogoga.com

El día de hoy, cuando intenté loggearme a Wordpress, obtuve un error, alertándome que el password era incorrecto. Y de hecho, tras revisar mi email, vi que se habían producido pedidos para recuperar / resetear el password.

Lo que sucede, es que se trata de una nueva vulnerabilidad de Wordpress que afecta incluso hasta la última versión disponible hasta el día de hoy (la 2.8.3).

Todos pueden resetear una contraseña de cualquier blog en Wordpress, sin necesidad de conocer ni el nombre de usuario, ni el correo electrónico asociado a la cuenta!

Así es, nos afecta a todos.
Quieren probarlo?

Sólo necesitan un navegador web.

Basta que pongan lo siguiente en la barra de direcciones: nombrededominio.com/wp-login.php?action=rp&key[]=

Esto, reseteará el password de las cuentas asociadas en Wordpress, sin pedir ninguna confirmación.

Si bien no es una manera de ganar acceso al blog, este exploit permite que cualquier persona simplemente deshabilite las cuentas de los usuarios en Wordpress, obligándolos a revisar el correo por los passwords generados. Todo un dolor de cabeza.


Cómo solucionarlo?

De momento, incluso la versión 2.8.3 –la más reciente- se ve afectada (así que no se sorprendan cuando vean la 2.8.4 antes del fin de semana).

Para solucionarlo de manera temporal, tenemos que abrir los archivos de configuración de Wordpress en nuestro servidor, ubicar wp-login.php, dirigirnos a la línea 190 y cambiar

if ( empty( $key ) )

Por

if ( empty( $key ) || is_array( $key ) )

Una vez hecho esto, vuelvan a probar el exploit, y verán que ya no funciona. Simple!

Para que no se asusten si no pueden entrar a su WordPress, a ver cuanto se tarda los de Automatic en sacar la versión 2.8.4
 
thx tio, hay que comprobar el mail de la cuenta de admin no vaya ser que la liemos!

saludos
 
Ahora tienes que pensar Alex, quien puede odiarte tanto como para hacerte eso... Aguas con la competencia...
 
brand_new si lees dije que copiaba y pegaba del blog de Arturo Goga 🙂 pero de todos modos no es un grave problema pues solo te resetean la contraseña pero no hay manera de que la averiguen, eso si, es molesto.
 
Gracias bro 🙂
 
Gracias por el aviso Enlace eliminado
 
jejej... ñaca ñaca.... esto dá para muchas bromas a personas no gratas ¬¬ no se si me explico..... +rep por la gran noticia...
 
Holasss,

Muy interezante este Xploit, puede ocacionarnos unos dolores de cabeza pero muy interezante. :congrats: :congrats: :congrats: :congrats:

Salu2 :hello:
 
Por eso me convencí de no usar WP 😛

Lo que venía a postear... no sería mejor no publicar el "bug"? Es que hay cada uno dando vueltas...
 
Yo ya había leído eso y no pensaba hacer el cambio (sinceramente: me daba pereza) hasta que algún hijo de puta me hizo el reset y ya accedí a mi public_html a subsanar el problema.

PD: Santiago, es más conveniente conocer el problema ya que: 1. Todos los blogs ya lo publicaron y no convendría que no lo sepan algunos de aquí y 2. Ya se mencionó que los fantasiosos 'aportes' de 'mi CMS es mejor' no son bien recibidos u_u (leer reglas del foro)
 
PD: Santiago, es más conveniente conocer el problema ya que: 1. Todos los blogs ya lo publicaron y no convendría que no lo sepan algunos de aquí y 2. Ya se mencionó que los fantasiosos 'aportes' de 'mi CMS es mejor' no son bien recibidos u_u (leer reglas del foro)

1) Si, bueno, no lo tendrían que haber hecho :S (No se maneja así el tema de los bugs? Solo aparecen en webs orientadas a "crackear" webs hasta el momento en que sale una versión con el problema corregido?)
2) Tenés razón (hoy releí las reglas). Aunque repase lo que escribi varias veces, no me doy cuenta porque se me paso por alto.
Sorry :banghead:
 
Atrás
Arriba