La piattaforma WordPress è un pacchetto interamente strutturato in PHP, con licenza GNU, maggiormente utilizzato per la semplice realizzazione di blog e siti internet.
Una grave falla affligge però la nuovissima versione della piattaforma destinata prevalentemente al blogging più utilizzata al mondo. Nella versione 2.8.3 esiste la possibilità di poter cambiare la password a qualsiasi utente semplicemente conoscendone il suo indirizzo email.
E’ sufficiente accedere all’indirizzo http://www.indirizzo_del_sito.xx/wp-login.php?action=lostpassword, per reimpostare banalmente la password utente. Solitamente WordPress invia una email di conferma al proprietario dell’account per confermare il reset password. Tale passaggio viene saltato a causa del bug.
Tale falla è considerata solo marginalmente un pericolo alla sicurezza, poichè non è consentito al malintenzionato la possibilità di accedere all’account utente. Tuttavia attraverso tale procedura è possibile bloccare l’accesso di un utente che si ritrova così privo di codice di accesso.
In attesa di una patch è possibile banalmente risolvere il problema manualmente semplicemente aprendo il file wp-login.php, cercare la stringa if ( empty( $key ) ), e sostituirla con if ( empty( $key ) || is_array( $key ) ). In tal modo gli utenti saranno coperti da eventuali tentativi di attacco.
