Por que as senhas são exportáveis ​​como texto sem formatação no WordPress?

8

Na instalação do WordPress 3.9.2, posso extrair as senhas de texto sem formatação dos usuários acessando Usuários, selecione todos os usuários e escolhendo Exportar Ações em Massa.

Quando eu olho no banco de dados mySQL com phpMyAdmin, as senhas são hash.

Questão

Como é que todas as senhas de usuário podem ser exportadas em texto sem formatação e como posso evitar isso?

Atualizar

Quando exporto um usuário ou "Exportar todos os usuários", recebo uma saída semelhante a esta

User ID,Username,Payment Status,First Name,Last Name,Address,Zip,City,Country,Date,Sex,Phone no.,Email,Company,Password,TOS,Website,AIM,Yahoo IM,Jabber/Google Talk,Biographical Info,Registered,IP
"31","xxx","paid","Jasmine","Lognnes","xxx","xxx","xxx","","xxx","female","","xxx","xxx","xxx","agree","","","","","","2012-01-26 18:13:19","xxx"
security password Jasmine Lognnes
fonte
7
Só vejo a opção "Excluir" em "Ações em massa" na página Usuários (WP 3.9.2) com todos os usuários selecionados: d.pr/i/M2YO Você está usando um plug-in para obter a funcionalidade de exportação do usuário?
Nick
1
@JasmineLognnes Algumas maneiras de investigar: (A) Faça o download de toda a /wp-content/plugins/pasta na sua máquina e pesquise na pluginspasta a palavra "Exportar" usando a linha de comando ou um editor de texto que suporte a pesquisa em vários arquivos . (B) Recrie todo o site em sua máquina local e desligue os plugins até que o recurso Exportar desapareça.
Nick
4
Você tem certeza absoluta de que está vendo senhas em texto simples? Nunca houve essa opção no WordPress. Ele usa o phpass desde 2.5 e o hash md5 antes disso.
Michael Hampton
1
@ JasmineLognnes Parece que vale a pena investigar mais esse plugin. É muito difícil exportar senhas de texto sem formatação das hash armazenadas no banco de dados, mas suponho que seja possível que um plug-in mal-intencionado ou mal-intencionado esteja salvando senhas em texto sem formatação à medida que são digitadas quando os usuários fazem login? Vale a pena usar o PhpMyAdmin para pesquisar também no banco de dados por uma das senhas em texto sem formatação - pode apontar para o plug-in que adicionou essas linhas ao banco de dados. Se você encontrar o culpado, não se esqueça de responder à sua própria pergunta - seria interessante saber mais.
Nick
2
Se você estiver no Reino Unido, aceitando pagamentos e tiver senhas de texto sem formatação salvas ou em um formato de criptografia bidirecional, como sua pergunta sugere, não será compatível com PCI e sua implementação será ilegal
Tom J Nowell

Respostas:

15

Você não pode exportar senhas como texto sem formatação no WordPress, porque elas não são armazenadas em texto sem formatação. O que você vê aqui é obviamente o resultado de um plugin muito ruim.

Campos gosta Payment, Sexou Companynão são mesmo parte das tabelas WordPress regulares.

Para o futuro: Não instale plug-ins sem testes e análises anteriores em um ambiente seguro. Use uma configuração local para encontrar esses problemas de segurança. Especialmente quando você está lidando com dados de outras pessoas, isso é um requisito .

O que você deve fazer agora: desative todos os plugins até que essa exportação não seja mais possível. O último plugin desativado foi provavelmente o problema. Encontre todas as tabelas que ele criou, exclua essas tabelas. Desinstale esse plug-in.

fuxia
fonte
8

É um bug no wp-membersplugin. Outros relataram o mesmo erro.

Jasmine Lognnes
fonte
5
O bug aqui é uma interface do usuário ruim. Parece que o wp-members permite adicionar campos personalizados ao formulário de registro, incluindo o campo "senha". O que não é (compreensivelmente) claro para os usuários é que esses campos adicionados são apenas para coletar metadados, e a "senha" refere-se apenas ao tipo de entrada HTML e não tem nada a ver com a senha WP do usuário, nem vem com garantia de armazená-lo com segurança.
Stephen Harris
2
Toscho já tem os votos;) mas acho que este comentário é uma resposta muito melhor ....
Mark Kaplun
Na verdade, essa não é uma resposta melhor. Não é um bug no plug-in, mas sim "erro do usuário". Dos dois posts vinculados a esta resposta, o primeiro nem sequer está falando sobre membros do WP. Está falando de um plugin completamente diferente e não relacionado, o usuário meta pro. E se alguém se desse ao trabalho de ler o segundo post vinculado, você verá que a resposta é devido à maneira como o usuário configurou seus campos personalizados e não a algo inerente ao plug-in. O plug-in não armazena senhas como texto sem formatação nem como meta do usuário.
butlerblog