Context Navigation

← Previous Change
Next Change →

basic.php

Timestamp:

10/23/2015 04:45:10 AM (11 years ago)

Author:

dd32

Message:

XMLRPC: Prevent authentication from occuring after a failed authentication attmept in any single XML-RPC call.

This hardens WordPress against a common vector which uses multiple user identifiers in a single system.multicall call. In the event that authentication fails, all following authentication attempts in that call will also fail.

Props dd32, johnbillion.
Fixes #34336

File:

: 1 edited

trunk/tests/phpunit/tests/xmlrpc/basic.php (modified) (1 diff)

Legend:

: Unmodified
: Added
: Removed

trunk/tests/phpunit/tests/xmlrpc/basic.php

-              r25002
+              r35366
                 $user_id = $this->make_user_by_role( 'subscriber' );
+                $this->assertTrue( $this->myxmlrpcserver->login_pass_ok( 'subscriber', 'subscriber' ) );
+                $this->assertInstanceOf( 'WP_User', $this->myxmlrpcserver->login( 'subscriber', 'subscriber' ) );
+        }
+        function test_login_pass_bad() {
+                $user_id = $this->make_user_by_role( 'subscriber' );
                 $this->assertFalse( $this->myxmlrpcserver->login_pass_ok( 'username', 'password' ) );
                 $this->assertFalse( $this->myxmlrpcserver->login( 'username', 'password' ) );
+                $this->assertTrue( $this->myxmlrpcserver->login_pass_ok( 'subscriber', 'subscriber' ) );
+                $this->assertInstanceOf( 'WP_User', $this->myxmlrpcserver->login( 'subscriber', 'subscriber' ) );
+                // The auth will still fail due to authentication blocking after the first failed attempt
+                $this->assertFalse( $this->myxmlrpcserver->login_pass_ok( 'subscriber', 'subscriber' ) );
+        }
+        /**
+         * @ticket 34336
+         */
+        function test_multicall_invalidates_all_calls_after_invalid_call() {
+                $editor_id = $this->make_user_by_role( 'editor' );
+                $post_id = self::factory()->post->create( array(
+                        'post_author' => $editor_id,
+                ) );
+                $method_calls = array(
+                        // Valid login
+                        array(
+                                'methodName' => 'wp.editPost',
+                                'params'     => array(
+,
+                                        'editor',
+                                        'editor',
+                                        $post_id,
+                                        array(
+                                                'title' => 'Title 1',
+                                        ),
+                                ),
+                        ),
+                        // *Invalid* login
+                        array(
+                                'methodName' => 'wp.editPost',
+                                'params'     => array(
+,
+                                        'editor',
+                                        'password',
+                                        $post_id,
+                                        array(
+                                                'title' => 'Title 2',
+                                        ),
+                                ),
+                        ),
+                        // Valid login
+                        array(
+                                'methodName' => 'wp.editPost',
+                                'params'     => array(
+,
+                                        'editor',
+                                        'editor',
+                                        $post_id,
+                                        array(
+                                                'title' => 'Title 3',
+                                        ),
+                                ),
+                        ),
+                );
+                $this->myxmlrpcserver->callbacks = $this->myxmlrpcserver->methods;
+                $result = $this->myxmlrpcserver->multiCall( $method_calls );
+                $this->assertArrayNotHasKey( 'faultCode', $result[0] );
+                $this->assertArrayHasKey( 'faultCode', $result[1] );
+                $this->assertArrayHasKey( 'faultCode', $result[2] );
+        }
+}

Note: See TracChangeset for help on using the changeset viewer.

Make WordPress Core

Context Navigation

Changeset 35366 for trunk/tests/phpunit/tests/xmlrpc/basic.php

Legend:

trunk/tests/phpunit/tests/xmlrpc/basic.php

Download in other formats: