Lücke in WordPress ermöglicht Aussperren des Admins

Ok, ich glaube ich verstehe das nicht ganz. Um das Passwort des admins zu löschen, wie in diesem Hack beschrieben, muss doch erst sein login-name bekannt sein, oder?

Vorschlag:
In der wp-login.php diese Zeile (186)*…

$key = preg_replace('/[^a-z0-9]/i', '', $key);

… ersetzen durch:

if ( !is_string($key) or ( !preg_match('/[^a-z0-9]/i', $key) ) )
{
    die('Hier nicht!');
}

Sollte reichen, oder?

Ich kriege im Trac derzeit nur eine Fehlermeldung.

Okay, jetzt sehe ich es. Aber wo ist der Bug dazu?

Die aktuell eingepflegte Lösung prüft nur, ob genau dieser Exploit versucht wird. Wenn man ein geschütztes Leerzeichen eingibt, wird sie vermutlich wieder versagen.

Ja, per wp-hackers habe ich nun auch CS 11804 gefunden. Aber nicht den Bug dazu. Hm.

Hi, im Trac wird folgendes empfohlen

dies:

if ( empty( $key ) )

durch dies ersetzen:

if ( empty( $key ) || is_array( $key ) )

durch dies ersetzen

Ich habe WP 2.8.4 und in meiner wp-login habe ich das gefunden:

if ( empty( $key ) || !is_string( $key ) )

Ist das jetzt schon eine verbesserte Version und somit ausreichend?

Grüßlis
Lilia

Danke für die schnelle Antwort :mrgreen:

Jetzt hab ich auch mal eine Frage dazu. Hab eben WP 2.9.2 aufgespielt, und wenn ich meinen Blog mit dem hier beschriebenen String:

http://blog.hep-cat.de/?p=4874

besuche, bekomm ich immer noch den WP Login. Kenne ich also den Benutzernamen, so wird zwar das Passwort nicht neu gesetzt, der Benutzer bekommt jedoch von WP immer noch eine Bestätigungsmail zum Passwortreset zugesandt. Das ist unbefriedigend, da de Fakto ein nerviger Zeitgenosse den Server veranlassen könnte andauernde Bestätigungsmails zu versenden.

Ist das normal? Sollte das nicht in 2.9.2 komplett ausgebügelt sein?

Edit:

Ich habs für mich mit folgender Änderung in der .htaccess gelöst:

<files wp-login.php>
AuthName Admin
AuthType Basic
AuthUserFile /pfad/zur/.htpasswd
require valid-user
Order deny,allow
Deny from all
Allow from xxxxx
</files>

Hm, wundert mich dass dies niemanden zu stören scheint. Is immer noch eine ärgerliche Angelegenheit, so man denn die wp-login nicht schützt.