El día de hoy, cuando intenté loggearme a Wordpress, obtuve un error, alertándome que el password era incorrecto. Y de hecho, tras revisar mi email, vi que se habían producido pedidos para recuperar / resetear el password.
Lo que sucede, es que se trata de una nueva vulnerabilidad de Wordpress que afecta incluso hasta la última versión disponible hasta el día de hoy (la 2.8.3).
Todos pueden resetear una contraseña de cualquier blog en Wordpress, sin necesidad de conocer ni el nombre de usuario, ni el correo electrónico asociado a la cuenta!
Así es, nos afecta a todos.
Quieren probarlo?
Sólo necesitan un navegador web.
Basta que pongan lo siguiente en la barra de direcciones: nombrededominio.com/wp-login.php?action=rp&key[]=
Esto, reseteará el password de las cuentas asociadas en Wordpress, sin pedir ninguna confirmación.
Si bien no es una manera de ganar acceso al blog, este exploit permite que cualquier persona simplemente deshabilite las cuentas de los usuarios en Wordpress, obligándolos a revisar el correo por los passwords generados. Todo un dolor de cabeza.
Cómo solucionarlo?
De momento, incluso la versión 2.8.3 –la más reciente- se ve afectada (así que no se sorprendan cuando vean la 2.8.4 antes del fin de semana).
Para solucionarlo de manera temporal, tenemos que abrir los archivos de configuración de Wordpress en nuestro servidor, ubicar wp-login.php, dirigirnos a la línea 190 y cambiar
if ( empty( $key ) )
Por
if ( empty( $key ) || is_array( $key ) )
Una vez hecho esto, vuelvan a probar el exploit, y verán que ya no funciona. Simple!