Finalmente ya está disponible la versión 3.0 de WordPress, la plataforma de creación de blogs más popular de la red. Aunque eso de blogs en esta versión ya queda corto, pues con algunas de las novedades de la versión 3.0 WordPress se ha convertido ya en todo un CMS.

Denominada con nombre clave Thelonious, en homenaje al músico de jazz Thelonious Monk, es el trabajo realizado durante medio año por más de 200 desarrolladores que han contribuido a mejorar la seguridad de la aplicación y ofrecer nuevas características como:

1. Adiós al usuario admin: para evitar problemas de seguridad el usuario admin ha sido eliminado y a partir de ahora desde la interfaz de instalación podremos asignar el primer usuario y contraseña del blog.
2. Nuevo tema por defecto: dejamos de lado a K2, el tema usado hasta ahora por WordPress, y damos la bienvenida a 2010 o twentyten. Más ancho, claro y estéticamente más bonito incluye una cabecera personalizada y dispone de seis áreas de widgets, dos en la barra lateral y cuatro en el pié de página. A partir de ahora Wordress cambiará de tema por defecto cada año.
3. Nuevo diseño en el escritorio: el panel de WordPress también estrena nuevos colores y distribuciones.
4. Integración del sistema de acortador de URLs en el menú de edición.
5. Administrador de menús: del mismo modo que trabajamos con los widgets de la barra laterar ahora podremos gestionar nuestros menús de una forma más sencilla y visual.
6. Tipos de contenido y taxonomías: podremos especificar diferentes tipos de contenido a modo de plantillas para poder diferenciar las noticias, los vídeos, los documentos… todo lo que nos imaginemos personalizándolos a nuestro gusto y por autor.
7. Integración completa de WordPress MU: esta característica nos permite gestionar más de un blog desde una misma instalación de WordPress.
8. Fondo personalizado y temas por usuario.
9. Posibilidad de actualizar más de un plugin a la vez con un solo clic de ratón.
10. Buddypress como un plugin más.

Además de la solución a 1,217 errores encontrados y mejoras en la optimización de código y las consultas a la base de datos para ofrecer una mayor velocidad.

WordPress, la plataforma por excelencia para montar blogs en internet, tiene una grave vulnerabilidad de seguridad todavía persistente en la versión 2.8.3.

Alguien ha descubierto la posibilidad de resetear la contraseña del usuario administrador sin necesidad de confirmación. Por lo general a la hora de resetear la contraseña de un usuario WordPress solicita previamente el nombre de usuario y su correo electrónico. Si estos datos no son correctos el proceso no permite continuar.

Pero con unos determinados parámetros en la URL es posible resetear la contraseña del usuario admin evitando la confirmación. Para ello solo hay que introducir:

http://www.dominio.com/wp-login.php?action=rp&key[]=

Cambiando dominio por la web en cuestión. En la fuente muestran ejemplos de blogs conocidos a los que afecta la vulnerabilidad, por ejemplo TechToogle:

Aunque no es oficial, Ya existe una alternativa para solucionar el problema. Para ello hay que editar el archivo wp-login modificando en la línea 190 (para WP 2.8.3) 0 línea 196 (para versiones anteriores):

if ( empty( $key ) )

Por lo siguiente:

if ( empty( $key ) || is_array( $key ) )

De este modo tendremos nuestros blogs a salvo hasta una solución por parte de WordPress.

Vía: ProgrammerFish