Comentarios en: Primer fallo de seguridad REAL en WordPress 2.5

Por: Fallo de seguridad en WordPress 2.5 « Un poco de mucho

Fallo de seguridad en WordPress 2.5 « Un poco de mucho — Wed, 16 Apr 2008 20:45:04 +0000

[...] Agamum | Fuente: [...]

Por: Samuel Aguilera

Samuel Aguilera — Wed, 16 Apr 2008 17:07:53 +0000

Pues también es cierto jact

Por: jact

jact — Wed, 16 Apr 2008 16:58:35 +0000

Pues, desde mi punto de vista de desarrollador de aplicaciones web, pienso que sí es un fallo de la aplicación. Lo más lógico es que, durante el proceso de instalación, el script generara un valor aleatorio para esa variable y que dejara el valor escrito en el fichero de configuración.

De esta forma, se conseguiría tener un valor diferente en cada instalación (en cada servidor) y se ahorraría trabajo a los usuarios (que no tienen por qué conocer las tripas del código, ni que tienen que modificar manualmente ese parámetro tras hacer la instalación).

Definitivamente, punto negativo para los desarrolladores de WP.

Por: Samuel Aguilera

Samuel Aguilera — Wed, 16 Apr 2008 14:48:24 +0000

Si el archivo no tiene esa variable, según la descripción del fallo que se ha reportado, sería como conservar el valor predeterminado de la variable SECRET_KEY.

Por lo que a efectos prácticos entiendo que, sí, un blog con WP 2.5 y sin esa clave definida en el archivo de configuración es vulnerable.

Por: MOPE

MOPE — Wed, 16 Apr 2008 14:36:09 +0000

Hola, pues eso no debe afectar a todos, porque he revisado varios wp-config.php de distintos blogs y no disponen de esa cadena denominada Secret_key, lo más parecido es DB_password