非官方：WordPress 2.8.3漏洞及修复
沃普斯 这个问题是国外一位爱好者发现的，被WopusIDC一个用户含笑发现，并及时在WopusIDC群里通报。
BUG描述：
漏洞文件：wp-login.php
漏洞产生原因：WordPress < = 2.8.3 Remote admin reset password
说白了就会跳过验证码重新设置管理员的密码，但是管理员不会收到邮件，攻击者也无法得知被修改的密码是什么。
但如果能取得管理员的mail权限，博客权限也就拿下了。
BUG修复：
修复方法：WP官方目前尚未发布该漏洞的patch，建议暂时禁用密码找回功能。临时解决方法如下：
使用编辑器打开wp-login.php文件，搜索
function reset_password($key) {
在函数的的第一行直接插入错误返回代码：
return new WP_Error('invalid_key', __('Invalid key'));
题外话：及时升级，多关注WordPress。
另外，尽量抹去自己博客的版本号，因为2.7也出现过这样的问题。漏洞都是针对某一个版本，所以隐藏版本号能很好的保护自己。
声明：本站所有文章，如无特殊说明或标注，均为本站原创发布。任何个人或组织，在未征得本站同意时，禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益，可联系我们进行处理。
