Комментарии: Неприятный баг в WordPress http://blog.petrusha.name/2009/08/11/wordpress-reset-admin-password-vulnerability/ про IT и не только... Mon, 23 Aug 2010 14:41:16 +0000 hourly 1 http://wordpress.org/?v=3.0.1 Автор: StewardTZ http://blog.petrusha.name/2009/08/11/wordpress-reset-admin-password-vulnerability/#comment-1811 StewardTZ Wed, 12 Aug 2009 10:32:17 +0000 http://blog.petrusha.name/?p=169#comment-1811 Ну я как всегда буду ждать Lecactus-а :) Да и эту уязвимость в своём блоге я закрыл :) - напрямую в коде Ну я как всегда буду ждать Lecactus-а :)
Да и эту уязвимость в своём блоге я закрыл :) – напрямую в коде

]]> Автор: -bsv- http://blog.petrusha.name/2009/08/11/wordpress-reset-admin-password-vulnerability/#comment-1810 -bsv- Wed, 12 Aug 2009 10:04:22 +0000 http://blog.petrusha.name/?p=169#comment-1810 Спасибо! Но, как уже сказали выше, уже вышло обновление. К тому же, только и русская версия уже появилась. Так что - можно обновляться :) Спасибо!

Но, как уже сказали выше, уже вышло обновление. К тому же, только и русская версия уже появилась. Так что – можно обновляться :)

]]> Автор: StewardTZ http://blog.petrusha.name/2009/08/11/wordpress-reset-admin-password-vulnerability/#comment-1807 StewardTZ Wed, 12 Aug 2009 06:09:41 +0000 http://blog.petrusha.name/?p=169#comment-1807 2 Жилинский - ну вообщем я конечно согласен :)))) 2 boris - уже вышло обновление от команды Wordpress - версия 2.8.4 2 Жилинский – ну вообщем я конечно согласен :) )))

2 boris – уже вышло обновление от команды WordPress – версия 2.8.4

]]> Автор: boris http://blog.petrusha.name/2009/08/11/wordpress-reset-admin-password-vulnerability/#comment-1806 boris Wed, 12 Aug 2009 06:06:07 +0000 http://blog.petrusha.name/?p=169#comment-1806 будет неприятно если пароль будут сбрасывать каждые пять минут будет неприятно если пароль будут сбрасывать каждые пять минут

]]> Автор: Жилинский http://blog.petrusha.name/2009/08/11/wordpress-reset-admin-password-vulnerability/#comment-1805 Жилинский Wed, 12 Aug 2009 06:01:45 +0000 http://blog.petrusha.name/?p=169#comment-1805 У 80% пользователей в качестве пароля установлена одна из 20 наиболее популярных комбинаций (см. мою заметку про <a href="http://zhilinsky.ru/2007/09/26/passwords/" rel="nofollow">взлом аккаунтов</a>), так что смена пароля на автогенерируемый по сути лишь усложнит задачу брутфорса. admin update: я удалил rel="nofollow" - хорошие ссылки должны фоловится :) - не стесьняйся У 80% пользователей в качестве пароля установлена одна из 20 наиболее популярных комбинаций (см. мою заметку про взлом аккаунтов), так что смена пароля на автогенерируемый по сути лишь усложнит задачу брутфорса.

admin update:
я удалил rel=»nofollow» – хорошие ссылки должны фоловится :) – не стесьняйся

]]> Автор: StewardTZ http://blog.petrusha.name/2009/08/11/wordpress-reset-admin-password-vulnerability/#comment-1804 StewardTZ Wed, 12 Aug 2009 05:59:20 +0000 http://blog.petrusha.name/?p=169#comment-1804 А то что пароль всего 12 символов.. и только буквы и некоторые служебные символы (типа & # $) - такой пароль можно подобрать брутфорсом (перебором по словарю) быстрее чем админский пароль, созданный человеком. Хотя конечно у многих я думаю пароль проще чем сгенерированный самим Wordpress-ом :) Я бы не сказал что уязвимость не критическая.. ведь на Wordpress работают не только блоги... А то что пароль всего 12 символов.. и только буквы и некоторые служебные символы (типа & # $) – такой пароль можно подобрать брутфорсом (перебором по словарю) быстрее чем админский пароль, созданный человеком.

Хотя конечно у многих я думаю пароль проще чем сгенерированный самим WordPress-ом :)

Я бы не сказал что уязвимость не критическая.. ведь на WordPress работают не только блоги…

]]> Автор: Жилинский http://blog.petrusha.name/2009/08/11/wordpress-reset-admin-password-vulnerability/#comment-1803 Жилинский Wed, 12 Aug 2009 04:57:50 +0000 http://blog.petrusha.name/?p=169#comment-1803 Забавно, но уязвимость не критическая - ну сбросят пароль админу, ну придёт ему письмо - и что? Профита нет, фишка бесполезна. Забавно, но уязвимость не критическая – ну сбросят пароль админу, ну придёт ему письмо – и что? Профита нет, фишка бесполезна.

]]>