Por que as senhas são exportáveis como texto sem formatação no WordPress?

Na instalação do WordPress 3.9.2, posso extrair as senhas de texto sem formatação dos usuários acessando Usuários, selecione todos os usuários e escolhendo Exportar Ações em Massa.

Quando eu olho no banco de dados mySQL com phpMyAdmin, as senhas são hash.

Questão

Como é que todas as senhas de usuário podem ser exportadas em texto sem formatação e como posso evitar isso?

Atualizar

Quando exporto um usuário ou "Exportar todos os usuários", recebo uma saída semelhante a esta

User ID,Username,Payment Status,First Name,Last Name,Address,Zip,City,Country,Date,Sex,Phone no.,Email,Company,Password,TOS,Website,AIM,Yahoo IM,Jabber/Google Talk,Biographical Info,Registered,IP
"31","xxx","paid","Jasmine","Lognnes","xxx","xxx","xxx","","xxx","female","","xxx","xxx","xxx","agree","","","","","","2012-01-26 18:13:19","xxx"

security password

— Jasmine Lognnes
fonte

Só vejo a opção "Excluir" em "Ações em massa" na página Usuários (WP 3.9.2) com todos os usuários selecionados: d.pr/i/M2YO Você está usando um plug-in para obter a funcionalidade de exportação do usuário?

— Nick

@JasmineLognnes Algumas maneiras de investigar: (A) Faça o download de toda a /wp-content/plugins/pasta na sua máquina e pesquise na pluginspasta a palavra "Exportar" usando a linha de comando ou um editor de texto que suporte a pesquisa em vários arquivos . (B) Recrie todo o site em sua máquina local e desligue os plugins até que o recurso Exportar desapareça.

— Nick

Você tem certeza absoluta de que está vendo senhas em texto simples? Nunca houve essa opção no WordPress. Ele usa o phpass desde 2.5 e o hash md5 antes disso.

— Michael Hampton

@ JasmineLognnes Parece que vale a pena investigar mais esse plugin. É muito difícil exportar senhas de texto sem formatação das hash armazenadas no banco de dados, mas suponho que seja possível que um plug-in mal-intencionado ou mal-intencionado esteja salvando senhas em texto sem formatação à medida que são digitadas quando os usuários fazem login? Vale a pena usar o PhpMyAdmin para pesquisar também no banco de dados por uma das senhas em texto sem formatação - pode apontar para o plug-in que adicionou essas linhas ao banco de dados. Se você encontrar o culpado, não se esqueça de responder à sua própria pergunta - seria interessante saber mais.

— Nick

Se você estiver no Reino Unido, aceitando pagamentos e tiver senhas de texto sem formatação salvas ou em um formato de criptografia bidirecional, como sua pergunta sugere, não será compatível com PCI e sua implementação será ilegal

— Tom J Nowell

Respostas:

Você não pode exportar senhas como texto sem formatação no WordPress, porque elas não são armazenadas em texto sem formatação. O que você vê aqui é obviamente o resultado de um plugin muito ruim.

Campos gosta Payment, Sexou Companynão são mesmo parte das tabelas WordPress regulares.

Para o futuro: Não instale plug-ins sem testes e análises anteriores em um ambiente seguro. Use uma configuração local para encontrar esses problemas de segurança. Especialmente quando você está lidando com dados de outras pessoas, isso é um requisito .

O que você deve fazer agora: desative todos os plugins até que essa exportação não seja mais possível. O último plugin desativado foi provavelmente o problema. Encontre todas as tabelas que ele criou, exclua essas tabelas. Desinstale esse plug-in.

— fuxia
fonte

É um bug no wp-membersplugin. Outros relataram o mesmo erro.

— Jasmine Lognnes
fonte

O bug aqui é uma interface do usuário ruim. Parece que o wp-members permite adicionar campos personalizados ao formulário de registro, incluindo o campo "senha". O que não é (compreensivelmente) claro para os usuários é que esses campos adicionados são apenas para coletar metadados, e a "senha" refere-se apenas ao tipo de entrada HTML e não tem nada a ver com a senha WP do usuário, nem vem com garantia de armazená-lo com segurança.

— Stephen Harris

Toscho já tem os votos;) mas acho que este comentário é uma resposta muito melhor ....

— Mark Kaplun

Na verdade, essa não é uma resposta melhor. Não é um bug no plug-in, mas sim "erro do usuário". Dos dois posts vinculados a esta resposta, o primeiro nem sequer está falando sobre membros do WP. Está falando de um plugin completamente diferente e não relacionado, o usuário meta pro. E se alguém se desse ao trabalho de ler o segundo post vinculado, você verá que a resposta é devido à maneira como o usuário configurou seus campos personalizados e não a algo inerente ao plug-in. O plug-in não armazena senhas como texto sem formatação nem como meta do usuário.

— butlerblog

Por que as senhas são exportáveis ​​como texto sem formatação no WordPress?

Por que as senhas são exportáveis como texto sem formatação no WordPress?