La noticia esta en todos los blogs de informática que abarcan WordPress mínimamente.  La noticia, que proviene del blog Desvaríos informáticos, narra como el autor descubrió la vulnerabilidad, la notificó a los responsables de WordPress, y estos no le han dado la importancia que se merece. En los comentarios se puede leer la diferencia de opiniones sobre si José debía publicar o no toda la información del bug.

En resumen, hay un agujero de seguridad por el cual, haciendo unas 20 peticiones, se puede saturar un servidor donde tiene alojado un WordPress. En la entrada se muestra las líneas de código que dan el fallo, se muestra el código en PHP de un exploit que consigue el objetivo mencionado, y un par de soluciones para resolver este fallo.

La solución que parece más efectiva, pasa por modificar el archivo wp-trackbacks.php del WordPress, y modificar la línea donde pone:

$charset = $_POST['charset'];

Por estas otras:

$charset = str_replace(",", "", $_POST['charset']);
if (is_array($charset)) { exit; }

Así, tendremos parcheado nuestro WordPress mientras no salga una solución oficial. En la entrada se explican todos los detalles del error, y del proceso seguido por el descubridor. Si estas interesado en el tema, recomiendo la lectura de la entrada.

Entradas relacionadas:

1. WordPress y problemas con el módulo ModSecurity de Apache
2. Optimización y aceleración de WordPress (2/2)
3. 13 métodos para mejora la seguridad de tu WordPress
4. Optimización y aceleración de WordPress (1/2)