Luka w wordpressie?

[chaos_code]

Wordpress 2.1.3.

Kilka dni temu zarejestrował mi się na wordpressie użytkownik: Cheesey (mail z o2.pl).

Dzisiaj koło południa napisałem sobie dwa posty.

Przed chwilą wchodzę patrzę, user Cheesey napisał dwa posty. Mówię fajnie.

Tyle, że to były moje posty...

Dla testu napisałem jeszcze jeden post. Znów jako autor widnieje Cheesey.

Stworzyłem dla próby nowego usera. Nowy post i znów autor Cheesey.

Posty przed rejestracją Che... pozostały bez zmian.

Miałem tam tylko swoje posty, ale jakby tak więcej ludzi coś w międzyczasie napisało, to się może niezły bałagan narobić...

A co gorsza, skoro można zmienić autora, to i przejechanie się po tekście nie będzie problemem.

Oczywiście domyślny user, to Contributor. I Che... również widniał jako taki.

Wtyczki zainstalowane seo title tag i u warrior3

Sytuacja zaistniała na jednym z moich dwóch blogów.

Czy u kogoś pojawił się może podobny problem?

[Nowaczyk-Robert]

Nie spotkałem się z czymś takim i wątpie aby to była wina WordPressa, może jak już to wina wtyczek.

[chaos_code]

Mam nadzieję, choć z drugiej strony na drugim blogu ma taki sam zestaw wtyczek i jest ok.

Usunąłem tego usera. Zarejestrowałem nowego i wszytko działa jak powinno.

Może ja coś namieszałem, ale nie wiem...

[Nowaczyk-Robert]

Niewiem jak tam z podkradaniem się w session id, ale czy w to by się bawił?

[var1at]

ja tak mam w moim preclu testowym

i mam to w nosie ;D

[chaos_code]

A czy taki sam użytkownik?

Samą zmianę autora (jeśli prowadzimy luźnego precla), faktycznie można olać.

Problemem raczej jest źródło takiego zajścia i dalsze konsekwencje.

Niewiem jak tam z podkradaniem się w session id, ale czy w to by się bawił?

Też nie specjalnie wiem po co ktoś miałby się w to bawić.

Ani jak ma się sprawa zabezpieczeń w wordpressie.

Czy tylko id_session, czy dodatkowe informacje jak choćby przeglądarka, system.

Ale jeśli ktoś zwinął by mi sesję, to mogłem już nie być adminem.

Myślę, że to raczej nie przejęcie sesji, bardziej jakaś luka, ale kto wie.

[pandha]

a ja sie spotkalem z czyms takim. mam strone blog na wordpressie i jak wpisuje sie do precli to czesto czesc wpisu pojawia mi sie jako komentarz w moim blogu...

[kruzyk]

Bo w tych artach w preclach linkujesz pewnie do wpisów w blogu (swoim preclu)

WordPress ma fajną opcję trackback i ping. Poczytaj o tym.

[Devourer]

Zaktualizuj wtyczkę SEO Title Tag, w poprzedniej wersji były jakieś problemy z bezpieczeństwem. IMO w ogóle możesz się jej pozbyć, okazuje się że funkcjonalność Wordpress sama z siebie zawiera także dynamiczne tytuły.