Perché le password sono esportabili come testo normale in WordPress?

Nella mia installazione di WordPress 3.9.2 posso estrarre le password di testo semplice degli utenti andando su Utenti, selezionare tutti gli utenti e scegliendo Esportazione di azioni in blocco.

Quando guardo nel database mySQL con phpMyAdmin, le password sono sottoposte a hash.

Domanda

Come mai tutte le password degli utenti possono essere esportate in testo semplice e come posso impedirlo?

Aggiornare

Quando esporto un utente o "Esporta tutti gli utenti" ottengo un output simile a questo

User ID,Username,Payment Status,First Name,Last Name,Address,Zip,City,Country,Date,Sex,Phone no.,Email,Company,Password,TOS,Website,AIM,Yahoo IM,Jabber/Google Talk,Biographical Info,Registered,IP
"31","xxx","paid","Jasmine","Lognnes","xxx","xxx","xxx","","xxx","female","","xxx","xxx","xxx","agree","","","","","","2012-01-26 18:13:19","xxx"

security password

— Jasmine Lognnes
fonte

Vedo solo l'opzione "Elimina" in "Azioni in blocco " nella pagina Utenti (WP 3.9.2) con tutti gli utenti selezionati: d.pr/i/M2YO Stai usando un plugin per ottenere la funzionalità di esportazione dell'utente?

— Nick,

@JasmineLognnes Un paio di modi in cui potresti indagare: (A) Scarica l'intera /wp-content/plugins/cartella sul tuo computer, quindi cerca nella pluginscartella la parola "Esporta" usando la riga di comando o un editor di testo che supporti la ricerca multi-file . (B) Ricrea l'intero sito sul tuo computer locale, quindi disattiva i plug-in fino a quando la funzione di esportazione scompare.

— Nick,

Sei assolutamente sicuro di vedere password in chiaro? Non c'è mai stata una tale opzione in WordPress. Ha usato phpass da 2.5 e prima gli hash md5.

— Michael Hampton,

@JasmineLognnes Sembra che valga la pena indagare ulteriormente su quel plugin. È molto difficile esportare le password in chiaro da quelle con hash memorizzate nel database, ma suppongo sia possibile che un plugin malevolo o mal concepito stia salvando le password in testo normale mentre vengono digitate quando gli utenti accedono? Vale la pena usare PhpMyAdmin per cercare nel database anche una delle password in chiaro - potrebbe puntare al plugin che ha aggiunto quelle righe al database. Se trovi il colpevole, non dimenticare di rispondere alla tua domanda: sarebbe interessante saperne di più.

— Nick,

Se sei nel Regno Unito e stai accettando pagamenti e hai salvato password in chiaro o in un formato di crittografia a 2 vie, come suggerisce la tua domanda, non saresti conforme a PCI e la tua implementazione sarebbe illegale

— Tom J Nowell

Risposte:

Non è possibile esportare le password come testo normale in WordPress, perché non sono memorizzate in testo normale. Quello che vedi qui è ovviamente il risultato di un pessimo plugin.

Campi come Payment, Sexo Companynon sono nemmeno una parte dei tavoli di WordPress regolari.

Per il futuro: non installare plug-in senza test e recensioni precedenti in un ambiente sicuro. Utilizzare un'installazione locale per trovare tali problemi di sicurezza. Soprattutto quando hai a che fare con i dati di altre persone, questo è un requisito .

Cosa dovresti fare ora: disabilita tutti i plugin fino a quando questa esportazione non sarà più possibile. L'ultimo plug-in disabilitato era probabilmente il problema. Trova tutte le tabelle che ha creato, eliminale. Disinstallare quel plugin.

— fuxia
fonte

È un bug nel wp-membersplugin. Altri hanno segnalato lo stesso errore.

— Jasmine Lognnes
fonte

Il bug qui è un'interfaccia utente scadente. Sembra che wp-members ti consenta di aggiungere campi personalizzati al modulo di registrazione, incluso il campo "password". Ciò che non è (comprensibilmente) chiaro per gli utenti è che questi campi aggiunti sono solo per la raccolta di metadati e che la "password" si riferisce al solo tipo di input HTML e non ha nulla a che fare con la password WP dell'utente, né viene fornita con alcuna garanzia di conservandolo in modo sicuro.

— Stephen Harris,

Toscho ha già i voti;) ma penso che questo commento sia una risposta molto migliore ....

— Mark Kaplun,

In realtà, questa non è una risposta migliore. Non è un bug nel plugin, ma piuttosto "errore utente". Dei due post collegati in questa risposta, il primo non parla nemmeno dei membri del WP. Sta parlando di un plugin completamente diverso e non correlato, l'utente meta pro. E se qualcuno si prendesse la briga di leggere il secondo post collegato, vedresti che la risposta è dovuta al modo in cui l'utente ha configurato i propri campi personalizzati e non a qualcosa di inerente al plugin. Il plugin non memorizza le password come testo normale, né come meta utente.

— Butlerblog