wordpress - WordPress 明文密码存储在浏览器内存中

Question

我一直在对库存的 WordPress 安装进行渗透测试。我看到的一个持久性问题是 WP 在浏览器内存中存储明文密码。

重现：

1. 登录到 WordPress，然后退出。关闭该特定标签，但让 Chrome 保持打开状态。

2. 创建浏览器内存的转储文件。

3. 打开转储文件并搜索密码，然后您将看到它以明文形式显示。

我怎样才能防止这种情况发生？

不管某人实际以这种方式查看密码的上下文如何，使用明文密码不是一个好习惯吗？

参考：https ://cwe.mitre.org/data/definitions/316.html

标签： wordpresssecuritybrowserpasswordspenetration-testing

Answer 1

“我怎样才能防止这种情况发生？”

这不是 WordPress 问题，因为 WordPress 不控制客户端的垃圾收集。当 JavaScript 引擎可用于此任务时，密码将在短时间内消失。

“使用明文密码不是一个好习惯吗？”

浏览器将明文密码传递给 WordPress，这就是用户名-密码身份验证（也称为基本身份验证）的工作方式。