Brute Force и XSS уязвимость в Wordpress

Здравствуйте 3APA3A!

Сообщаю вам об ещё одной уязвимости в WordPress, о которой мне известно уже давно - это Brute Force через XML-RPC функционал в WordPress.

Brute Force (WASC-11):

http://site/xmlrpc.php

В данном функционале нет защиты от Brute Force атак. При отправке соответствующих POST-запросов можно выявить пароль.

Замечу, что начиная с WordPress 2.6 XML-RPC функционал отключён по умолчанию. Разработчики WP сделали это в связи с уязвимостями (такими как SQL Injection и другими), что были выявлены в этом функционале, т.е. не мотивируя это как противодействие Brute Force, но это в том числе сработало как защита от Brute Force атак.

И соответственно эта проблема не касается тех, кто использует WordPress начиная с версии 2.6 с настройками по умолчанию. А вот для тех, кому нужно использовать XML-RPC, те будут иметь Brute Force уязвимость, так как разработчики не сделали действенной защиты от неё.

Ранее в 2008 и 2010 годах я уже писал о Brute Force уязвимостях в WordPress (http://websecurity.com.ua/2007/ и http://websecurity.com.ua/4016/ SecurityVulns ID: 10677) и это ещё одна подобная уязвимость. Кроме них также известной является BF атака не через форму логина, а с использованием авторизационного кукиса (когда подсовывая разные кукисы можно подобрать пароль).

Уязвимы WordPress 3.3.1 и предыдущие версии.

Дополнительная информация о данной уязвимости у меня на сайте:
http://websecurity.com.ua/5723/

Best wishes & regards,
MustLive
Администратор сайта
http://websecurity.com.ua