Actualmente estoy fallando una exploración de PCI debido a CVE-2012-4448 La resolución recomendada de Security Metrics es actualizar a una versión de wordpress superior a 3.4.2, sin embargo, actualmente esa es la versión más alta. investigar el CVE revela que actualmente no hay una solución de proveedor. Me parece que esto significa que actualmente un servidor que ejecuta Wordpress no puede ser compatible con PCI. ¿Mi comprensión de la situación es correcta?
Soy un desarrollador para un proyecto de código abierto llamado WPScan , un escáner de vulnerabilidad de WordPress.
Habiendo hablado con uno de los principales desarrolladores de WordPress hace un par de semanas sobre este problema, WordPress vio esta vulnerabilidad en particular como de bajo riesgo. Sin embargo, será parcheado en la nueva versión que debería ser cualquier día.
Acabo de implementar un "arreglo" rápido en mi blog personal para evitar la explotación de esta vulnerabilidad.
En wp-admin/includes/dashboard.php comente las líneas 1065-1093. Esto comenta el contenido de la función wp_dashboard_rss_control que recibe la variable $_POST['widget-rss'][$number] controlable por el usuario, la cual es necesaria para aprovechar esta vulnerabilidad.
Esto evitó la explotación de la vulnerabilidad. No noté ningún otro efecto adverso al hacer esto en mi blog, sin embargo, hacerlo puede afectar algunas otras partes del sistema, pero no vi esto.
Lo anterior es una opción si no puede esperar unos días o una semana para que WordPress lance la versión parcheada.
Si desea un blog más seguro además de aprobar PCI, consulte WPScan.
En este momento tiene razón, sin un código personalizado, no puede proteger su sitio de wordpress para ciertas acciones debido a CVE-2012-4448.
Hay un ejemplo de vulnerabilidad que se puede encontrar aquí . Estaba revisando si un complemento como Bullet Proof Security podría ayudar. Pero mientras anuncian que efectivamente protegen contra CSRF, lo único que puedo encontrar en este momento es un filtro básico con .htaccess para ciertas carpetas (y nada más realmente) (las he cuestionado y estoy esperando una respuesta sobre cómo en realidad implementan la protección CSRF).
También estaba mirando el registro de cambios de wordpress 3.5, pero no puedo confirmar que ya hayan corregido esto en la versión beta.
Entonces, en este momento, debo concluir que estás en lo correcto.
ACTUALIZACIÓN:
Recuperé esto de AITpro:
Sí, wpnonce es protección CSRF. En algún momento también utilizaremos CSRFGuard de OWASP, pero en este punto la protección CSRF ya es tan buena en WordPress que no es realmente necesaria.
Lea otras preguntas en las etiquetas pci-dss