ハッカーがblog_charsetをUTF-7に変更した場合、WordPressはさらなる攻撃に対して脆弱になりますか？

最近ハッキングされたクライアントがいて、サイトにÂやlikeのような奇妙なキャラクターが現れていることに気付きました。ハッカーがwp_optionsデータベースのテーブルでblog_charsetをUTF-7に変更したことがわかりました。UTF-8に戻しましたが、その間にUTF-7に設定されたときに、セキュリティ上の脆弱性が生じるのではないかと考えていましたか？

いくつかの検索を行ったところ、バージョン2.0.6で修正されたWordPress UTF-7の脆弱性があったことを発見しました。WordPressの最新バージョンを実行しているため、そのエクスプロイトを使用することはできませんでしたが、UTF-7に関連する他のエクスプロイトはありますか？本当に、ハッカーが苦痛以外にblog_charsetを変更する理由はありますか？私は彼らがどうやって入ったのかを判断しようとしており、これがどういうわけか接続されているのだろうかと思っています。

<そして、>としてエンコードさ+ADw-と+AD4-にUTF-7 。次のことを想像してください。

1. 誰か+ADw-script+AD4-alert(+ACI-Hello+ACI-)+ADw-/script+AD4-がコメントテキストとして送信します。すべての衛生設備を逃すことなく通過します。

2. データベースは、すべての受信データをUTF-8として予期して処理します。すべてUTF-7の流れがあまりにも有効なUTF-8であるため、これは、SQLエラーが発生することはありませんし、mysql_real_escapeあるいはhtmlspecialcharsそれに触れることはありません。

3. WordPressはヘッダーを送信しますtext/html;charset=utf-7。

4. WordPressは、エスケープされたデータを期待してコメントを表示します。ただし、これはブラウザによってUTF-7として扱われるため、JavaScriptが実行されます。

それで、はい、それはセキュリティの問題です。

UTF-7はすべてのブラウザでサポートされているわけではありません。ほとんどのブラウザはテキストをWindows-1252（またはOSのデフォルトエンコーディング）またはUTF-8としてレンダリングします。主な問題は、エスケープが機能しなくなることです。

エンコーディング値を元に戻すだけでは解決できません。通常の訪問者は絶対に変更できないため、開いているドアを見つける必要があります。

また、必要になる場合があります（テーブルのすべてのエンコーディングを再変換します）：https : //stackoverflow.com/questions/6115612/how-to-convert-an-entire-mysql-database-characterset-and-collat​​ion- to-utf-8