WordPress… une astuce et deux failles

1 - Mise en forme étendue pour l’éditeur visuel

Une fois dans la zone d’édition (en mode Visuel), il suffit d’effectuer une combinaison de touches sur votre clavier.

Vous utilisez Windows…
  avec Firefox : Alt + Majuscule + V
  avec Internet Explorer : Alt + V Vous utilisez Mac OS X…
  avec Firefox : Ctrl + V
  avec Safari : Indisponible

Le léger plugin “Visualize Advanced Features“ développé par Handy permet de ne pas avoir à répéter cette satanique manipulation. Il est bien sûr disponible en téléchargement.

2 - Faille de sécurité dans le thème par défaut (XSS)

Ouvrir le fichier /wp-content/themes/default/functions.php et trouver :

<form style="display: inline" method="post" name="hicolor" id="hicolor" action="<?php echo $_SERVER['REQUEST_URI']; ?>">

Remplacer par

<form style="display: inline" method="post" name="hicolor" id="hicolor" action="<?php echo htmlspecialchars($_SERVER['REQUEST_URI']); ?>">

Cette faille découverte par John Smith peut être exploitée uniquement si l’administrateur est connecté.

3 - Risque d’injection SQL

Ouvrir le fichier /xmlrpc.php et trouver :

$max_results = $args[4];

Remplacer par :

$max_results = (int) $args[4];

Cette faille découverte par Alexander Concha crée un risque d’injection SQL.

Bon blogage blogging