English Users: read on Flatpress Forums.

Hey utenti di Flatpress, leggete qui perché è importante…

È facilissimo prendere il controllo del vostro blog.

A causa di un bug il controllo del login non fnziona.

Per farlo funzionare dovete modificare il file fp-includes/core/core.users.php, da linea 77 alla 98, la funzione user_loggedin() che deve diventare:

function user_loggedin(){

		global $loggedin, $fp_user;

		if ($loggedin)
			return $fp_user;

		if ( empty($_COOKIE[USER_COOKIE]) || empty($_COOKIE[PASS_COOKIE]) ) {
			$fp_user = null;
			return $loggedin = false;
		}

		$fp_user = user_get($_COOKIE[USER_COOKIE]);

		if (!$fp_user) {
			return false;
		}

		if($_COOKIE[PASS_COOKIE] == $fp_user['password']) {
			$loggedin = true;
			return $fp_user;
		}

		$loggedin = false;
		return false;

	}

Non so se ho fatto bene a pubblicare qui la soluzione al bug… In pratica è descritto anche l’exploit…

Per fortuna dovete conoscere Flatpress, PHP più qualcos’altro per poter applicarlo a fin di male.

Ciò che mi preoccupa per voi sono, oltre ai post e alle statiche, le parti che potrebbero rendere inagibile il vostro sito: i plugin ma anche l’uploader: conoscendo dove vanno i file è facile creare una shell PHP…

Mi raccomando: correggete subito e spero NoWhereMan crei presto una nuova versione di FP.

Comunque anche se riusciste a trovare l’exploit io sono già al sicuro 😁