Уязвимость для сброса пароля удаленного администратора WordPress

Пароль моей учетной записи администратора WordPress был недействительным, когда я пытался войти сегодня. Сначала я подумал, что это проблема с диспетчером паролей LastPass, и попытался проверить, вошел ли я в службу.

Когда я проверил свой почтовый ящик, я заметил, что получил новый пароль для учетной записи. Это было странно, поскольку я не запрашивал новый пароль.

Меня это не сильно беспокоило, так как я думал, что кто-то мог использовать функцию сброса пароля для сброса пароля, что означало, что физический доступ к новому паролю был невозможен.

А новый Сообщение, появившееся в списке обсуждений WordPress сегодня, раскрывает более подробную информацию о том, что произошло в тот день.

Очевидно, что любой может сбросить пароль WordPress, если известен адрес электронной почты пользователя WordPress. Все, что нужно сделать, это указать в веб-браузере http://www.domain.com/wp-login.php?action=lostpassword, чтобы сбросить пароль.

В форме необходимо указать адрес электронной почты владельца счета. WordPress сначала отправляет письмо с подтверждением на зарегистрированный адрес электронной почты, чтобы проверить запрос. Это сделано для предотвращения злоупотребления системой, чтобы пароли сбрасывались без запроса фактического владельца учетной записи.

Недавно обнаруженная уязвимость манипулирует запросом, чтобы пропустить этот шаг.

Дальнейшее использование этой уязвимости невозможно, что означает, что злоумышленники не могут получить доступ к учетной записи пользователя. Все, что можно сделать, это сбросить пароль учетной записи, что определенно неудобно для владельца учетной записи.

Однако теоретически его можно использовать для регулярного сброса пароля, чтобы заблокировать доступ пользователя или администратора к блогу WordPress.

Временный исправить для удаленного сброса пароля администратора была опубликована уязвимость. Администраторам WordPress необходимо изменить одну строку кода в файле wp-login.php установки WordPress, чтобы защитить свой блог от атаки.

Заменить

если (пусто ($ ключ))

С участием

если (пусто ($ ключ) || is_array ($ ключ))

Рекомендуется как можно скорее применить временное исправление к установкам WordPress.

Обновить : WordPress исправил проблему в последних версиях программного обеспечения. Больше нет необходимости внедрять патч вручную.