После обновления Modx с версии 2.6.1 до 2.6.5 не пускает в админку (неправильный логин/пароль). В чём проблема?

Question

[EA-EKB]

Доброго времени суток!

Сталкивался кто-либо с такой ситуацией? Разворачиваем modx например версии 2.6.1 на тестовой площадке. Логинимся в админку, ставим simpleUpdater, обновляем modx до 2.6.5 и после обновления не можем зайти в админку… Видите ли неправильный логин/пароль (хотя они 100% правильные вводятся). Выводя в методе passwordMatches файла /core/model/modx/moduser.class.php хэши полученных из формы и БД паролей получаем такое:

rARuzHgmXMaW2nYDYiSd31XN26wVfPY3Bvh1W6ROmHY=
rARuzHgmXMaW2nYDYiSd31XN26wVfPY3Bvh1W6ROmHZAipY5hQ==

1ая строка — хэш полученного из формы пароля, 2ая — из БД.

Натолкните, пожалуйста, на мысль из-за чего может неправильно формироваться хэш? Соль правильная. При чём после сброса пароля через «забыл пароль» авторизуется нормально, но только стоит поменять через админку пароль, как снова такая же хрень.

В /core/model/modx/hashing/modpbkdf2.class.php переменная $hashLength (строка 39) равна 32 (на modx.pro кто-то писал, что у него эта длина была равна 22 и из-за этого не работало, как только поменял на 32 — заработало).

Answer 1

[Sanes]

Вы встряли. Контакты в профиле. У всех по-разному. В любом случае готовьте бекам.

Answer 2

[Антон Тарасов]

Последние семь дней выдались сумасшедшими, по всему миру сотни сайтов были атакованы, были обнаружены критические уязвимости в MODX, сообщество выпустило несколько обновлений.

Подробнее ниже:

https://modx.pro/security/15912
modx.today/posts/2018/07/critical-security-vulnera...

Что нужно сделать: прежде всего нужен бекап, лучше,если он будет старше 19-го числа, когда были обнаружены первые атаки, откатиться на него, проверить, что вы все еще не заражены, подойдет Ai-Bolit, или даже ручной перебор,если знать,куда смотреть, список мест, куда пишется хлам, конечный ) Далее обновиться до последней версии MODX 2.6.5, если есть Gallery - то непременно и его до 1.7.1(с связи с найденной уязвимостью в коннекторе phpthumb), хорошо бы и остальные компоненты проактуализировать, в редких случаях требуется закрытие отдельных директорий извне.

Comments

[EA-EKB]

Прочитайте внимательно вопрос)

... обновляем modx до 2.6.5 ...

Обновляли как раз из-за атак. Описанная ситуация проявилась уже после обновления.