Contenido

Parche XSS para WordPress 2.1.2

27 mar

+ 12

Parece que la nueva versión de WordPress empieza a parecer un colador y se detectan pequeños descuidos que podrían comprometer nuestro blog.

Problema

El problema radica en el tratamiento del parametro que indica el año a la hora de filtrar y compromete directamente la función wp_title() mediante XSS.

http://www.yourdomain.com/?year=xss%3C/title%3E%3Cbody%20onmousemove=document.write(document.cookie);%3E%3C/body%3E

Solución

 Editamos la función wp_title() del fichero wp-includes/general-template.php

Buscamos:
if(!empty($year)){
$title = $year;
}
Reemplazamos:
if(!empty($year)){
$year = (int)$year;
$title = $year;
}

Comentar

#

Me reservo el derecho de eliminar y/o modificar los comentarios que contengan lenguaje inapropiado, spam u otras conductas no apropiadas en una comunidad civilizada. Si tu comentario no aparece, puede ser que akismet lo haya capturado, cada día lo reviso y lo coloco en su lugar. Siento las molestias.