Wordpressリモート管理者パスワードリセットの脆弱性のためのパッチ

Question

この脆弱性は、hereと記載されています。パッチはおそらくa 1-line replaceとなりました。hereのブランチライン/2.8/wp-login.php - the new patch should look this (check line 118)にあります。私の質問は - このパッチは十分ですか？そうでない場合は、提案はありますか？

Answer 1

私が理解しているように、パッチはその特定の穴を閉じます。しかし、私が管理しているすべてのWPサイトでやるべきもう一つの基本的なセキュリティ対策は、「admin」ユーザーを削除することです。ユーザーのユーザー名を表示名と同じにするのは理想的ではありません。悪意のある人はユーザー名を推測するだけでなく、パスワードをハックする方法を見つけなければならないという点でセキュリティが2倍になります。

WordPress +セキュリティで検索することで見つかるセキュリティ対策がたくさんありますが、私はユーザー名の変更、インストール時のdbテーブル名の変更、基本的なアクセス許可の変更に悩まされています。 WPアップグレード中に必要な追加の保守を必要とせずに、これまでのところうまくいきました。

Answer 2

はい、これはWordpressの脆弱性に対する非常に良いパッチです。

if (empty($key) || is_array($key)) 
    return new WP_Error('invalid_key', __('Invalid key')); 

これはSQLインジェクションではありません。ユーザーの全テーブルをダンプすることができた場合です。あなたの名前を変更することは、非常に良いセキュリティ対策ではありません。あなたのコードを最新の状態に保つことは、常にやるべきことです。そうしないと、ハッキングされます。