Помощь Подвержен ли wordpress 2.7.1 атаке?

[Ad1ce]

Сейчас в блогосфере массовые посты про хак вордпресса. Но все они про то, как восстановить блог после хака. Саму же инъекцию нигде не видел. Кто нибудь может указать ее, чтоб протестировать?
И второй вопрос - нигде не указывалось, блоги какой версии были взломаны. Надо ли обновлять wordpress 2.7.1?

 

[HeavyHell]

Нужно, если не ошибаюсь в 2,7,1 можно оставлять уже проапрувленный комент

 

[sw04]

xss в комментариях открыт + сброс пароля администратора + если открыта регистрация, возможен слив трафика с блога.

 

[tatams]

А фиксы уже изобрели?

 

[rewiaca]

подобные xss предупреждаются плагином "Random wordpress version", он в исходном коде вордпресса подменяет инфу о текущей версии

 

[ZM2007]

Комманда Wordpress рекомендует обновится до последней версии.

Конкретной версии не указано наверное потому, что они сами не знают как работает уязвимость и какие именно версии уязвимы, возможно 2.8.4 тоже подвержена этой уязвимости.

Но обновляться нужно в любом случае.

 

[Olimp]

Если даже Кактус пишет о взломе, то скорее всего и последняя версия содержит уязвимость

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

 

[Деймос]

xss в комментариях открыт + сброс пароля администратора + если открыта регистрация, возможен слив трафика с блога.

Хм... склонен не согласиться, сброс пароля не делается, xss в комментариях тоже не замечал.... про регистрацию не знаю... Можно как то более подробно о xss и сбросе пароля (лучше в личку, чтобы школьники не баловались), просто сам блог на 2.7.1 держу. Просто если действительно есть такие уязвимости, надо обновляться. А если нет, то пока на 2.7.1 останусь, ну не сколько не хуже 2.8.х.

 

[HeavyHell]

Как пример... там же и остальное

Для просмотра скрытого содержимого вы должны войти или зарегистрироваться.

 

[zagrenat]

Как пример... там же и остальное
*** скрытое содержание ***

так ведь по этому принципу можно просто вырезать из wp-login.php

case 'resetpass' :

и все что с ним связано, на некоторео время покарйне мере, пока не пофиксят )

хотя в данном случае у меня блог ломанули не по этому принципу, а как то по другому ) так как логин admin не трогали