Problema de Seguridad en gestion de Archivos Adjuntos de WordPress

Si bien WordPress es un sistema muy confiable , estable , seguro y mi primer recomendación para alguna pagina, como todo tiene detalles que dependiendo que en cierta medida pueden o no ser graves, como es el caso de la gestión de archivos adjuntos.

Esto debido a que por un «error» de wordpress cualquier visitante curioso o malintencionado podría adelantársete y disponer de archivos adjuntos antes de que tu quieras sacarlos a la luz.

y para los que se preguntan como puede pasar esto , aquí la explicación;

Cuando creas una entrada nueva, mientras no la publiques, puedes dejarla en borrador, pendiente de revisión o programada, y cualquier administrador o editor visualizarla previamente mediante la URL temporal o incluso la permanente, no así cualquier visitante o usuario sin los permisos adecuados, que obtendrá un error aunque conozca la URL.

Pero no pasa lo mismo con los medios que hayas subido a WordPress, estén o no adjuntos a una entrada pues sus URLs son siempre accesibles.

De este modo, si siempre subes, digamos un archivo pdf llamado informe.pdf, Solo tendría que adivinar la URL completa de carga del archivo, que si te sigue habitualmente no le costará adivinar, del tipo http://tuweb.es/wp-content/uploads/2013/07/nombredelarchivo.pdf

Pero es aún más grave, pues de hecho es todavía más fácil adivinar la URL de un adjunto, pues no necesitarías siquiera saber la carpeta donde está alojado, ni siquiera el nombre de archivo, sino que solo necesitas “adivinar” el ID de adjunto, y eso es solo prueba y error.

Por ejemplo, el siguiente archivo no está asociado a ninguna entrada, o sea, no está publicado, pero sin embargo, y al contrario que con las entradas, si puedes verlo aunque no tengas permisos de usuario: http://ayudawordpress.com/?attachment_id=70246.

Aqui el fallo dependiendo del tipo de archivos que manejes puede ser sensible o no pero un fallo al final de cuentas , si les interesa saber como solucionar este fallo pueden darse una vuelta por http://ayudawordpress.com/peligro-de-perdida-de-datos-debido-a-error-de-wordpress/ y ahi encontraran la solución de esto.