Commenti a: Vulnerabilità in wordPress http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/ Un blog di Andrea Beggi Wed, 08 Feb 2012 15:47:40 +0000 hourly 1 http://wordpress.org/?v=3.3.1 Di: Wordpress Xss Vulnerability | Dario Salvelli's Blog http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/comment-page-1/#comment-198963 Wordpress Xss Vulnerability | Dario Salvelli's Blog Tue, 29 Jun 2010 07:32:34 +0000 http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/#comment-198963 [...] blog di Michael Daw è rimbalzata in più blog la vulnerabilità sofferta dalle versioni di WordPress, nota piattaforma per la gestione [...] [...] blog di Michael Daw è rimbalzata in più blog la vulnerabilità sofferta dalle versioni di WordPress, nota piattaforma per la gestione [...]

]]> Di: Implicazioni del Vivere http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/comment-page-1/#comment-96104 Implicazioni del Vivere Sat, 24 Feb 2007 23:05:36 +0000 http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/#comment-96104 <strong>Tappata falla a Wordpress...</strong> Come segnalato da Andrea Beggi sul suo blog pare ci sia una vulnerabilità in Wordpress 2.0.5 nel file /wp-admin/template.php e dicono di guardare qui per risolvere la cosa. Ho provato a sostituire la riga 114 proposta nel link precedente al mio file e... Tappata falla a WordPress…

Come segnalato da Andrea Beggi sul suo blog pare ci sia una vulnerabilità in WordPress 2.0.5 nel file /wp-admin/template.php e dicono di guardare qui per risolvere la cosa.
Ho provato a sostituire la riga 114 proposta nel link precedente al mio file e…

]]> Di: Paolo Gatti http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/comment-page-1/#comment-64982 Paolo Gatti Sat, 30 Dec 2006 01:31:15 +0000 http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/#comment-64982 Attenzione, così la vulnerabilità è risolta, ma, provando a selezionare dal menù di amministrazione Gestione e poi File, io mi ritrovo un bell’errore Fatal error: Call to undefined function attribute_escape() in /wp-admin/templates.php on line 114, perchè non trova la funzione attribute_escape(). Io ho risolto editando a mano il file templates.php e sostituendo la riga 114 (non posto qui il codice perchè si vedrebbe male, però potete trovarlo a questo link: http://www.paologatti.it/index.php/2006/12/30/vulnerabilita-in-wordpress-205/ ) Saluti Attenzione, così la vulnerabilità è risolta, ma, provando a selezionare dal menù di amministrazione Gestione e poi File, io mi ritrovo un bell’errore Fatal error: Call to undefined function attribute_escape() in /wp-admin/templates.php on line 114, perchè non trova la funzione attribute_escape().

Io ho risolto editando a mano il file templates.php e sostituendo la riga 114 (non posto qui il codice perchè si vedrebbe male, però potete trovarlo a questo link: http://www.paologatti.it/index.php/2006/12/30/vulnerabilita-in-wordpress-205/ )

Saluti

]]> Di: blau http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/comment-page-1/#comment-64054 blau Thu, 28 Dec 2006 22:23:53 +0000 http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/#comment-64054 In WP 2.0.x wp-admin/templates.php è accessibile solo da un utente con ruolo admin, a quanto vedo dalla documentazione di wordpress. http://codex.wordpress.org/Roles_and_Capabilities Se è così, per sfruttare questa vulnerabilità deve essere compromesso un account admin, cosa già grave anche senza XSS. Credo che aspetterò la 2.0.6 tranquillamente. In WP 2.0.x wp-admin/templates.php è accessibile solo da un utente con ruolo admin, a quanto vedo dalla documentazione di wordpress.
http://codex.wordpress.org/Roles_and_Capabilities

Se è così, per sfruttare questa vulnerabilità deve essere compromesso un account admin, cosa già grave anche senza XSS. Credo che aspetterò la 2.0.6 tranquillamente.

]]> Di: googlando http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/comment-page-1/#comment-63884 googlando Thu, 28 Dec 2006 14:42:39 +0000 http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/#comment-63884 naturalmente, Grazie! naturalmente, Grazie!

]]> Di: Andrea http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/comment-page-1/#comment-63831 Andrea Thu, 28 Dec 2006 13:29:42 +0000 http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/#comment-63831 Enore, rinominare non fa mai male. Nel caso ci fossro problemi è più veloce tornare indietro. Cancellare se mai dopo una settimana. A tutti: prego! Enore, rinominare non fa mai male. Nel caso ci fossro problemi è più veloce tornare indietro. Cancellare se mai dopo una settimana.
A tutti: prego!

]]> Di: Barbara http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/comment-page-1/#comment-63827 Barbara Thu, 28 Dec 2006 13:17:44 +0000 http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/#comment-63827 Accidenti grazie mille della segnalazione Accidenti grazie mille della segnalazione

]]> Di: WordPress Italy http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/comment-page-1/#comment-63808 WordPress Italy Thu, 28 Dec 2006 12:38:44 +0000 http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/#comment-63808 <strong>Vulnerabilità WP...</strong> Andre Beggi ci ha rapidamente preceduto nella segnalazione della soluzione al problema (dorme meno di me ). La soluzione è immediatamente applicabile e WPIT l’ha già implementata con successo. Riporto dal suo blog: E’ stata rilevata una vul... Vulnerabilità WP…

Andre Beggi ci ha rapidamente preceduto nella segnalazione della soluzione al problema (dorme meno di me ).
La soluzione è immediatamente applicabile e WPIT l’ha già implementata con successo.
Riporto dal suo blog:
E’ stata rilevata una vul…

]]> Di: enore savoia http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/comment-page-1/#comment-63790 enore savoia Thu, 28 Dec 2006 12:04:28 +0000 http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/#comment-63790 @Andrea grazie per la immediata segnalazione della patch [file] volevo chiederti semplicemente come già fatto a Stefano di WP-Italia : visto che specifichi "rinominare il vecchio file" e uplodare il nuovo - è obbligatorio mantenerlo [il vecchio] o basta semplicemente sovrascriverlo ? Grazie ... :D @Andrea grazie per la immediata segnalazione della patch [file] volevo chiederti semplicemente come già fatto a Stefano di WP-Italia : visto che specifichi “rinominare il vecchio file” e uplodare il nuovo – è obbligatorio mantenerlo [il vecchio] o basta semplicemente sovrascriverlo ?
Grazie … :D

]]> Di: Dalla http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/comment-page-1/#comment-63695 Dalla Thu, 28 Dec 2006 09:46:55 +0000 http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/#comment-63695 Io sostituisco ma se poi vado sul file esce un errore sulla linea 114. Io sostituisco ma se poi vado sul file esce un errore sulla linea 114.

]]> Di: Zelig http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/comment-page-1/#comment-63683 Zelig Thu, 28 Dec 2006 09:04:15 +0000 http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/#comment-63683 Anch'io sono l'unico admin, ma ho aggiornato comunque, tanto è gratis! :-) Grazie per la segnalazione, Andrea. Anch’io sono l’unico admin, ma ho aggiornato comunque, tanto è gratis! :-)
Grazie per la segnalazione, Andrea.

]]> Di: baldo http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/comment-page-1/#comment-63452 baldo Wed, 27 Dec 2006 23:34:38 +0000 http://www.andreabeggi.net/2006/12/28/vulnerabilita-in-wordpress/#comment-63452 se sono l'unico amministratore del mio sito posso stare tranquillo? se sono l’unico amministratore del mio sito posso stare tranquillo?

]]>