Уязвимость в Wordpress темах

[Svictor]

Спасибо, пошел обновлять свой блог.

[5erg]

Спасибо, пошел шалить, пока все остальные не обновились :-)

[sshz]

Вы еще Windows обновите на всякий случай.

Уязвимость не в WordPress, а в скрипте изменения размеров картинок который используют некоторые создатели тем для WordPress.

Желтая пресса рулит конечно
1. Timthumbs никакого отношения конкретно к WordPress не имеет, это отдельный скрипт, даже не плагин для WordPress, с таким же успехом статью можно назвать «Уязвимость в темах Joomla».
2. Timthumbs используется не более чем в 5-10% тем WordPress, по этому не думаю что правильно говорить, что он используется во многих темах.
3. Уязвимость действительно серьезная, по этому стоит проверить, использует ли ваша тема Timthumbs, если в папке темы или подпапках есть timthumb.php скорее всего использует.

[Agel_Nash]

Втихушку проверил сайты на WordPress у себя на хостинге и вот что обнаружилось: из 142 сайтов в сумме 311 шаблонов. Из 311 шаблонов 1 подобный скрипт. Так что готов поспорить это не баг, это бэкдор от автора шаблона.

[zelenin]

фрилансю, в том числе вордпрессом. В 30% случаев у клиента коммерческий шаблон с timthumb

[impass]

подтверждаю
$ find . -type f -name timthumb.php
./wp-content/plugins/tag-gallery/timthumb/timthumb.php
./wp-content/themes/dandelion_v2.6.3/functions/timthumb.php

коммерческая тема Dandelion

[impass]

плагин Tag-gallery

[Agel_Nash]

Проверил еще раз. И нашел подобный скрипт но только с другим называнием: thumb.php

[ViGilant]

это актуально только в том случае, если у юзеров после регистрации есть права на создание записи -> прикладывание изображений?

[korum]

Да, как вариант можно допускать к возможности публикации только доверенных пользователей

[ViGilant]

благодарю
тогда это не столь страшно

[stoodiakv1]

похоже, это кто-то раньше него заметил уязвимость, ^_^

[t0os]

Это вы сделали вывод после этих слов? :-)

Уязвимость обнаружил Марк Маундер, после того, как его блог был взломан.

[Kilew]

Да все логично ;)
Уязвимость обнаружил ХЗ кто ;)
А потом уже Марк Маундер ;)

[VolCh]

Это естественное поведение таких скриптовых языков. Уязвимость, имхо, в том, что скрипт для работы с картинками не проверяет а картинки ли он грузит.

[VolCh]

Ну по заголовку ответа никто и не предлагал. Первым делом расширение, потом анализатор. а .htaccess не на всех виртхостингах доступен.

[VolCh]

Большинство такого (всего?) софта поставляется AS IS. Но написать пару строчек кода, проверяющих можно ли картинку обработать как картинку, по-моему не сложно.

[VolCh]

У меня он нигде не работает ) nginx+php-fpm )

[Dzen_Marketing]

Ну вот не надо сравнивать WP и Drupal

[AlexSpaizNet]

Обрадовался когда нашел тут тему про это а потом огорчился. Не использую я вордпресс.

Сегодня обнаружил что мне footer.php подправили. Вся странность в том что движок сайта свой, написанный на фреймворке Codeigniter, версии 1.6 вроде, давно писал…

Никакой timthumb не использовал. Только встроенную библиотеку Image_lib и голый imagemagick через exec, но последний только для админских штучек (пакетной обработки фотографий), тогда как ImageLib (GD2) там где юзер может загружать свои фотки…

Сейчас скачиваю все файлы с сервака на локалку, буду копать…

Если есть у кого мысли, буду рад.

[AlexSpaizNet]

Если кому интересно — snipplr.com/view/63291/my-website-was-hacked-with-this/