WordPress конкретно ломанули

[aship]

Обнаружилась уязвимость движка Wordpress. Простейшим Get-запросом из браузера можно сбросить администраторский пароль на любой версии движка.

Захватить блог таким образом не получится, но блокировать работу владельца - вполне.

Обновление пока не вышло.

Источник: http://molva150.ru/sluhi/141-user.html

[Globalzru]

Сообщение от aship

Захватить блог таким образом не получится, но блокировать работу владельца - вполне.

Никак они не заблокируют работу, можно зайти в базу и вписать новый пароль прямо в таблицу, через md5

[Последний Герой]

забаньте этот запрос в хттпд.конф или в корневом хтаксессе и делов то

[errora]

Сообщение от Globalzru

Никак они не заблокируют работу, можно зайти в базу и вписать новый пароль прямо в таблицу, через md5

Чего там в первом посте ТС за ссылку давал не читала... Но вот насчет этого - вдруг будет прецедент - поможешь? Серьезно.

[Администрация 6-ой палаты]

Сообщение от aship

Обнаружилась уязвимость движка Wordpress. Простейшим Get-запросом из браузера можно сбросить администраторский пароль на любой версии движка.

Захватить блог таким образом не получится, но блокировать работу владельца - вполне.

Обновление пока не вышло.

Источник: http://molva150.ru/sluhi/141-user.html

ну и какой запрос? щас проверил бы
и что за говносайт в источнике?

Добавлено через 1 минуту

Сообщение от errora

Но вот насчет этого - вдруг будет прецедент - поможешь?

проще по эмэйлу восстановить, чем конвертить в мд5 и совать в базу

[bla-bla-bla]

aship, запрос покажи, тоже на ГС проверю

[Globalzru]

Сообщение от Администрация 6-ой палаты

проще по эмэйлу восстановить, чем конвертить в мд5 и совать в базу

Было у меня такое у знакомого, через мыло не шло даже востановить

[aship]

Сообщение от Администрация 6-ой палаты

ну и какой запрос? щас проверил бы
и что за говносайт в источнике?

Источник увидел на new2.ru.
Лично не проверял, у меня нет сайтов на WP, но у двух знакомых пароли сегодня сбросили.

aship, запрос покажи, тоже на ГС проверю

Вот еще одна ссылка с подробной информацией и примером запроса, но на английском. Лично повторюсь, не проверял. На чужом сайте пробовать стремно, а своих на WP нет.

http://seclists.org/fulldisclosure/2009/Aug/0113.html

[EndyVelvet]

Нашел запрос, проверил, просто сбрасывает пароль и отправляет на мыло админу новый, вот и все

[Администрация 6-ой палаты]

Сообщение от aship

Источник увидел на new2.ru.
Лично не проверял, у меня нет сайтов на WP, но у двух знакомых пароли сегодня сбросили.

проверил, ниче подобного не происходит

Пожалуйста, введите ваш логин или e-mail. Вы получите новый пароль по почте.
Извините, этот ключ неверен.

Добавлено через 35 секунд

Сообщение от CAESARARTS

просто сбрасывает пароль

даже ничего не сбрасывает, под старым можно снова зайти