これで防げると思ってたんだけど 実際 pingback.ping は呼び出せた。WordPressのソースを確認したら xmlrpc_enabled フィルタでチェックしているのは認証が必要なパターンのときだった。pingback.pingは防げない・・・ というわけでPinbackを無効にするにはやっぱりxmlrpc_methodsフィルタを使うのが良い。 if ( function_exists( 'add_filter' ) ) { add_filter( 'xmlrpc_methods', 'remove_xmlrpc_pingback_ping' ); } function remove_xmlrpc_pingback_ping($methods) { unset($methods['pingback.ping']); return $methods; } しかしながら xmlr
WP-CLI を使用すると以下のコマンドで、WordPress 本体のファイルが改ざんされていないかをチェックすることができます。 $ wp core verify-checksums ためしに WordPress の wp-settings.php を適当に書き換えてこのコマンドを実行してみると以下のようにファイルが書き換えられていることが検出できると思います。 $ wp core verify-checksums Warning: File doesn't verify against checksum: wp-settings.php Error: WordPress install doesn't verify against checksums. で、このコマンドにはコツというか正しい付き合い方があります。 もし、みなさんがなんらかの違和感を感じて、このコマンドを実行したいシチュ
エグゼクティブサマリ WordPress 4.7と4.7.1のREST APIに、認証を回避してコンテンツを書き換えられる脆弱性が存在する。攻撃は極めて容易で、その影響は任意コンテンツの書き換えであるため、重大な結果を及ぼす。対策はWordPressの最新版にバージョンアップすることである。 本稿では、脆弱性混入の原因について報告する。 はじめに WordPress本体に久しぶりに重大な脆弱性が見つかったと発表されました。 こんな風に書くと、WordPressの脆弱性なんてしょっちゅう見つかっているという意見もありそうですが、能動的かつ認証なしに、侵入できる脆弱性はここ数年出ていないように思います。そういうクラスのものが久しぶりに見つかったということですね。 WordPress、更新版で深刻な脆弱性を修正 安全確保のため情報公開を先送り Make WordPress Core Conten
以下は、2009年8月12日に書かれた WordPress.org 公式ブログの記事、「WordPress 2.8.4: Security Release」を訳したものです。 日本語版は現在作成中ですを公開しました。 昨日、脆弱性が見つかりました: 特別に作成された URL がリクエストされると、ユーザーがリクエストしたパスワードのリセットを確認するためのセキュリティチェックを攻撃者が回避できる可能性があります。その結果、データベースにキーを持たない最初のアカウント (通常は管理者アカウント) のパスワードがリセットされ、新しいパスワードがそのアカウントのメールアドレスに送られます。これによってリモートアクセスが可能になるわけではありませんが、かなり不愉快な思いをするでしょう。 私たちは昨晩この問題を修正し、この修正をテストして他に問題がないか確認しました。既知の問題をすべて修正したバージ
2008/09/17 セキュリティ企業のラックは9月17日、同社のセキュリティ監視センターJSOC（Japan Security Operation Center）がまとめた2008年上半期のインターネット脅威動向レポートを発表した。増加し続けるSQLインジェクション攻撃だけではなく、WikiエンジンやCMSなどのパッケージWebアプリケーションへの攻撃、またSSHサービスに対する攻撃の増加が目立つという。 JSOCチーフエバンジェリスト兼セキュリティアナリストの川口洋氏によると、XOOPS、phpBB、Wikiエンジン、JoomlaなどのパッケージWebアプリケーションへの攻撃が2008年から急増しているという。これらのパッケージは多くのWebサイトで利用されているため、攻撃者にとっては効率のいい攻撃対象であること、またボットの進化により、パッケージのバージョン表記をチェックし攻撃手法を
Today we are releasing a mandatory security update for all Movable Type users, to address a potential security issue which has been reported by a third party. A detailed description of the vulnerability can be found later in this post, but to summarize: In affected versions of Movable Type, there are certain circumstances in which a blog template may be rendered dynamically via CGI in an otherwise
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く