Al parecer esta nueva actualización de wordpress ya esta dando sus primeros bugs, en este caso El problema radica en el tratamiento del parametro que indica el año a la hora de filtrar y compromete directamente la función wp_title() mediante XSS. Este xss nos da el user y pass encriptado en md5 del wordpress, solo pasandole un desencriptador alguien podría hacer desastres con nuestro blog.
Un ejemplo de como explotar la vulnerabilidad seria:
http://www.yourdomain.com/?year=xss%3C/title%3E%3Cbody%20onmousemove=document.write(document.cookie);%3E%3C/body%3E
Solucion:
Editamos la función wp_title() del fichero wp-includes/general-template.php
Buscamos esto:
if(!empty($year)){ $title = $year; }Y lo Reemplazamos por esto:if(!empty($year)){ $year = (int)$year; $title = $year; }
VIA|Anieto2k

![[Gratis] Theme de Facebook Timeline para WordPress](http://walhez.com/wp-content/uploads/2011/10/timeline-facebook-wordpress-180x110.png)











Hay más bugs reportados para WordPress 2.1.2, el de PHP_SELF (tu blog es vulnerable) y uno en page-new.php, es conveniente actualizar por lo menos a la versión RC2 de 2.1.3
mm gracias por la advertencia tratare de corregirlo en este momento.
[...] ha salido una nueva version de wordpress, que viene a solucionar los bugs xss y otros que tenian las versiones 2.1.x, A algunas esto les parece molesto, que el wordpress se actualize a cada momento, yo lo tomo como [...]
[...] El dia de hoy he decidido publicar como podemos defacearnos/hackearnos un blog que utiliza worpress …. Primero aremos lo siguientes: [...]