针对Wordpress远程管理员重置密码漏洞的修补程序

Question

此漏洞的存档记录为here。这个补丁据说为a 1-line replace，如here在分支/ 2.8/wp-login.php的第190行 - the new patch should look this (check line 118) - 我的问题是 - 这个补丁是否足够？如果没有，有什么建议吗？

Answer 1

据我所知，贴片封闭了那个特定的孔。但是，我管理的每个WP网站的另一个基本安全措施是删除“admin”用户，理想情况下永远不会有任何用户的用户名与他们的显示名称相同。这使得安全性倍增，因为坏人必须猜测用户名，并找出破解密码的方法。

有很多额外的安全措施，你可以通过做WordPress的+安全搜索找到，但我都坚持不断变化的用户名，在安装改变数据库表名和基本权限的东西。到目前为止，这种方法运行良好，WP升级过程中没有必要进行额外的维护，这是一些更为强化的安全措施所要求的。

Answer 2

是的，这是一个很好的Wordpress漏洞补丁。

if (empty($key) || is_array($key)) 
    return new WP_Error('invalid_key', __('Invalid key')); 

这不是SQL注入，如果它是那么你可以转储整个用户的表。改变你的名字并不是一个很好的安全措施。让代码保持最新是您必须始终执行的操作，否则将被黑客入侵。