WordPress明文密码存储在浏览器内存中

Question

我一直在对WordPress的库存安装进行渗透测试。我看到的一个持久性问题是WP将明文密码存储在浏览器内存中。

复制：

1. 登录WordPress，然后注销。关闭那个特定的选项卡，但保持Chrome打开。

2. 创建浏览器内存的转储文件。

3. 打开转储文件并搜索密码，然后您会看到它以明文形式出现。

如何防止这种情况发生？

不管某人在何种情况下实际以这种方式查看密码，使用明文密码都不是一种好的做法吗？

参考编号：https://cwe.mitre.org/data/definitions/316.html

Answer 1

"如何防止这种情况发生？">

这不是WordPress的问题，因为WordPress不控制客户端的垃圾收集。当JavaScript引擎可用于此任务时，密码将在短时间内消失。

"使用明文密码不是一种好的做法吗？">

浏览器将明文密码传递给WordPress，这就是用户名密码身份验证(也称为基本身份验证(的工作方式。