WordPressでパスワードがプレーンテキストとしてエクスポートできるのはなぜですか？

WordPress 3.9.2のインストールで、[ユーザー]に移動し、すべてのユーザーを選択して、[一括アクションエクスポート]を選択して、ユーザーのプレーンテキストパスワードを抽出できます。

phpMyAdminでmySQLデータベースを調べると、パスワードがハッシュ化されています。

質問

すべてのユーザーパスワードをプレーンテキストでエクスポートできるのはなぜですか。これを防ぐにはどうすればよいですか。

更新

1人のユーザーまたは「すべてのユーザーをエクスポート」をエクスポートすると、次のような出力が表示されます

User ID,Username,Payment Status,First Name,Last Name,Address,Zip,City,Country,Date,Sex,Phone no.,Email,Company,Password,TOS,Website,AIM,Yahoo IM,Jabber/Google Talk,Biographical Info,Registered,IP
"31","xxx","paid","Jasmine","Lognnes","xxx","xxx","xxx","","xxx","female","","xxx","xxx","xxx","agree","","","","","","2012-01-26 18:13:19","xxx"

security password

— ジャスミン・ログネス
ソース

ユーザーページ（WP 3.9.2）の[一括操作]の下に[削除]オプションのみが表示され、すべてのユーザーが選択されています：d.pr/i/M2YOプラグインを使用してユーザーエクスポート機能を取得していますか？

— ニック

@JasmineLognnes調査できるいくつかの方法：（A）/wp-content/plugins/フォルダー全体をコンピューターにダウンロードし、コマンドラインまたはマルチファイル検索をサポートするテキストエディターを使用して、pluginsフォルダー「Export」を検索します。（B）ローカルマシンでサイト全体を再作成し、エクスポート機能が表示されなくなるまでプラグインをオフにします。

— Nick

プレーンテキストのパスワードが表示されていることを本当に確信していますか？WordPressにはそのようなオプションはありませんでした。2.5以降ではphpassを使用しており、その前はmd5ハッシュです。

— マイケルハンプトン

@JasmineLognnesそのプラグインはさらに調査する価値があるようです。データベースに保存されているハッシュ化されたパスワードからプレーンテキストのパスワードをエクスポートするのは非常に困難ですが、悪意のある、またはよく考えられていないプラグインが、ユーザーがログインしたときに入力したパスワードをプレーンテキストで保存している可能性はありますか？PhpMyAdminを使用してデータベースにプレーンテキストのパスワードの1つを検索することも価値があります。これらの行をデータベースに追加したプラグインをポイントしている可能性があります。犯人を見つけた場合は、自分の質問に答えることを忘れないでください。詳細を知ることは興味深いでしょう。

— Nick

英国にいて、支払いを受け入れ、プレーンテキストのパスワードが保存されているか、双方向の暗号化形式で保存されている場合、質問が示唆するように、PCIに準拠せず、実装は違法になります

— Tom J Nowell

回答:

パスワードはプレーンテキストで保存されていないため、WordPressではパスワードをプレーンテキストとしてエクスポートできません。ここに表示されるのは、明らかに非常に悪いプラグインの結果です。

フィールドのようなPayment、SexまたはCompany通常のWordPressのテーブルの一部でもありません。

今後のために：安全な環境で事前のテストとレビューなしにプラグインをインストールしないでください。ローカルの設定を使用して、このようなセキュリティの問題を見つけてください。特に他の人のデータを扱う場合、これは必須条件です。

今すべきこと：このエクスポートができなくなるまで、すべてのプラグインを無効にします。最後に無効にされたプラグインがおそらく問題でした。作成したすべてのテーブルを検索し、それらのテーブルを削除します。そのプラグインをアンインストールします。

— フクシア
ソース

wp-membersプラグインのバグです。他の人が同じエラーを報告しています。

— ジャスミン・ログネス
ソース

ここのバグはUIが貧弱です。wp-membersでは、「パスワード」フィールドを含むカスタムフィールドを登録フォームに追加できるようです。ユーザーが（理解できるように）明確でないのは、これらの追加フィールドはメタデータを収集するためだけのものであり、「パスワード」はHTML入力タイプのみを指し、ユーザーのWPパスワードとは何の関係もありません。安全に保管してください。

— スティーブンハリス

Toschoにはすでに投票があります;）しかし、このコメントの方がはるかに良い回答だと思います...

— Mark Kaplun

実際には、これは良い答えではありません。これはプラグインのバグではなく、「ユーザーエラー」です。この回答にリンクされている2つの投稿のうち、最初の投稿はWPメンバーについてさえ話していません。それは完全に別の無関係なプラグイン、ユーザーメタプロについて話しています。そして、誰かがリンクされた2番目の投稿を読みたくない場合、これに対する答えは、ユーザーがカスタムフィールドを構成した方法によるものであり、プラグインに固有のものではないためです。プラグインは、パスワードをプレーンテキストとしても、ユーザーメタとしても保存しません。

— butlerblog 2015年