[Reporta Manuel Almeida](http://mangasverdes.es/2006/02/28/graves-vulnerabilidades-en-wordpress-20-y-201/#more-1788) que se ha publicado una [alerta de seguridad](http://www.neosecurityteam.net/index.php?action=advisories&id=17) que afecta a **WordPress 2.0** y **2.0.1**, esta es definida como **crítica**, son dos fallas y la incidencia se da en varios archivos.

**Parche para el error en XSS**

> Sustituir las líneas 21-24 de ‘wp-comments-post.php’ por:

> $comment_author = htmlentities(trim($_POST[’author’]));
> $comment_author_email = htmlentities(trim($_POST[’email’]));
> $comment_author_url = htmlentities(trim($_POST[’url’]));
> $comment_content = htmlentities(trim($_POST[’comment’]));

**Parche para el Full path disclosure:**

> Añadir al principio de cada archivo afectado la siguiente línea:

> if (eregi(’name_of_the_file.php’, $_SERVER[’PHP_SELF’]))
> die(’You are not allowed to see this page directly’);

La lista de cada uno de los archivos afectados [pueden ser revisados en el post de Mangas Verdes](http://mangasverdes.es/2006/02/28/graves-vulnerabilidades-en-wordpress-20-y-201/#more-1788). Ahora hay que ver cuánto tarda en responder [WordPress](http://wordpress.org) con una versión actualizada y segura.

Participa en la conversación

10 Comentarios

Deja tu comentario

  1. Usted ha hecho algunos puntos dignos allí. Que apareció en la internet para la emisión y encuentra la mayoría de la gente irá , junto con junto con su sitio web.

  2. Hay, nice site. Ive been lurking on your blog for quite some time and just wanted to say you do a really great job. I love your blog and just wanted to take the time to comment and tell you how much I love your blog.

  3. Y yo, tan ilusionado con la nueva versión de WP… con lo que me estaba divirtiendo y lo seguro que me encontraba… ¿cuántos bugs más saldrán? ¿Qué pasará con la confianza de los usuarios?

    A propósito, Eduardo, ¿para cuando la compatibilidad con co.comment?

    Un abrazo

  4. Destacar que es un error que me parece de principiante sobretodo si se tiene en cuenta que estamos hablando de un entorno tan conocido y en una versión ya madura.

  5. El parche para el Full path disclosure debería decir:

    $_SERVER[‘PHP_SELF’]

    A menos que sea una especie de alias de la variable mencionada :P

  6. Hay que decir, para los que utilizamos UTF-8, que para parchear el error de XSS, lo mejor es esta modificación:

    $comment_author = htmlentities(trim($_POST[’author’]),ENT_COMPAT,get_option(’blog_charset’)); $comment_author_email = htmlentities(trim($_POST[’email’]),ENT_COMPAT,get_option(’blog_charset’)); $comment_author_url= htmlentities(trim($_POST[’url’]),ENT_COMPAT,get_option(’blog_charset’)); $comment_content = htmlentities(trim($_POST[’comment’]),ENT_COMPAT,get_option(’blog_charset’));

  7. uy…pegue el codigo y no lo mostro….haber si ahora si…

    *define(‘DB_NAME’, ‘wordpress’); // The name of the database *define(‘DB_USER’, ‘word’); // Your MySQL username *define(‘DB_PASSWORD’, »); // …and password *define(‘DB_HOST’, ‘localhost’); // 99% chance you won’t need to change this value