wordpress初始密码-Wordpress教程-爱模板网

wordpress初始密码

2024-04-24 14:50:52

WordPress 社交登录插件曝出漏洞，用户账户信息遭泄露

一个关键的安全漏洞已被披露在miniOrange的社会登录和注册WordPress的插件，可能使恶意的演员登录，因为任何用户提供的关于电子邮件地址的信息是已知的。

追踪到CVE-2023-2982（CVSS得分:9.8），身份验证绕过漏洞影响所有版本的插件，包括7.6.4及之前版本。这个问题在2023年6月14日得到解决，并在2023年6月2日发布了7.6.5版本。

Word fence研究员Istvan Marton说:"该漏洞使未经身份验证的攻击者有可能访问网站上的任何帐户，包括用于管理网站的帐户，如果攻击者知道或可以找到相关的电子邮件地址。"

这个问题的根源在于，使用社交媒体帐户登录过程中用于保护信息的加密密钥是硬编码的，从而导致攻击者可以使用用于识别用户的正确加密的电子邮件地址创建有效请求的情况。

如果帐户属于WordPress站点管理员，它可能会导致完全的妥协。插件在3万多个网站上使用。

在此之前，人们发现了一个影响Learndash lms插件的高度严重缺陷，这是一个具有100,000多个活动安装的WordPress插件，它允许任何拥有现有帐户的用户重置任意用户密码，包括那些具有管理员权限的密码。

这个bug(CVE-2023-3105，CVSS评分：8.8)已经在2023年6月6日发布的4.6.0.1版本中进行了修补。

几周前，Patch堆栈详细描述了UpdraftPlus插件(CVE-2023-32960，CVSS评分：7.1)中的跨站点请求伪造(Csrf)漏洞，该漏洞可能允许未经身份验证的攻击者窃取敏感数据，并通过欺骗具有访问精心编制的WordPress站点URL的管理权限的用户来提升权限。

WordPress找回密码提示：抱歉，该key似乎无效

WordPress找回密码提示：抱歉，该key似乎无效，提供两种解决方法：

方法一：在找回密码重置链接里去掉最后“>”字符，就ok了！

方法二：在当前主题的 functions.php 添加下面的代码即可；

/** * WordPress 找回密码提示“抱歉，该key似乎无效” * */function reset_password_message( $message, $key ) { if ( strpos($_POST['user_login'], '@') ) { $user_data = get_user_by('email', trim($_POST['user_login'])); } else { $login = trim($_POST['user_login']); $user_data = get_user_by('login', $login); } $user_login = $user_data->user_login; $msg = __('有人要求重设如下帐号的密码：'). "rnrn"; $msg .= network_site_url() . "rnrn"; $msg .= sprintf(__('用户名：%s'), $user_login) . "rnrn"; $msg .= __('若这不是您本人要求的，请忽略本邮件，一切如常。') . "rnrn"; $msg .= __('要重置您的密码，请打开下面的链接：'). "rnrn"; $msg .= network_site_url("wp-login.php?action=rp&key=$key&login=" . rawurlencode($user_login), 'login') ; return $msg;}add_filter('retrieve_password_message', reset_password_message, null, 2);

赏

WordPress 社交登录插件曝出漏洞，用户账户信息遭泄露

The Hacker News 网站消息，miniOrange 的 WordPress 社交登录和注册插件中出现了一个关键安全漏洞，该漏洞可能使潜在网络攻击者登录用户帐户。（原因是任何用户提供的有关电子邮件地址信息都是已知的）

据悉，漏洞被追踪为 CVE-2023-2982（CVSS 得分：9.8），身份验证绕过漏洞影响包括 7.6.4 之前在内的所有插件版本。2023 年 6 月 2 日，相关组织负责任地发布了 7.6.5 版本，CVE-2023-2982 漏洞问题已于 2023 年 6 月 14 日得到解决。

Wordfence 研究员 István Márton 表示 CVE-2023-2982 漏洞使未经身份认证的网络攻击者有可能获得对网站上任何账户的访问权，甚至包括用于管理网站的账户，但前提是攻击者知道或能够找到相关的电子邮件地址。

此外，CVE-2023-2982 安全漏洞问题的根源在于用户使用社交媒体账户登录时，用于保护信息安全的加密密钥是硬编码，因此导致了攻击者可以使用正确加密的电子邮件地址创建有效请求以识别用户的情况。值得一提的是，存在漏洞的插件在 30000 多个网站上使用。

LearnDash LMS插件也曾出现其它安全漏洞

发布 CVE-2023-2982 漏洞公告前，安全人员发现一个影响 LearnDash LMS 插件的严重漏洞（CVE-2023-3105，CVSS 得分：8.8），该插件是一个拥有超过 100000 个活动安装的 WordPress 插件，可以允许任何拥有现有帐户的用户重置任意用户密码，甚至包括具有管理员访问权限的用户密码。好消息是，漏洞已于 2023 年 6 月 6 日发布的 4.6.0.1 版本中完成了修补。

几周前，Patchstack 也曾详细介绍 UpdraftPlus 插件（CVE-2023-32960，CVSS分数：7.1）中的一个跨站点请求伪造（CSRF）漏洞，该漏洞可能允许未经身份验证的攻击者窃取敏感数据，并通过诱骗具有管理权限的用户访问特制的 WordPress 网站 URL ，以此来提升自身权限。

翻译自：