Je reçois des demandes de modification du courrier électronique de l'administrateur. Comment cela peut-il arriver?
Je viens de réhéberger un site pour un client et je reçois maintenant des courriels de ce site indiquant que j'ai récemment demandé à ce que le courrier électronique d'administration soit modifié. Je ne l'ai pas demandé et j'ai supprimé le compte que l'ancien administrateur aurait pu utiliser pour se connecter. J'ai également modifié tous les autres mots de passe et l'hôte a changé.
C'est la deuxième fois que cela se produit. La première fois, j’ai essayé de cliquer sur le lien pour voir s’il me dirait le nouvel e-mail proposé, mais il a simplement autorisé le changement. Et je ne pouvais pas le changer, parce que l'email de confirmation était envoyé au nouvel email, non autorisé. Je l'ai donc changé directement dans la base de données et je sais maintenant que je ne peux pas cliquer sur le lien.
J'essaie de comprendre comment ces courriels sont générés… des idées? Le courrier électronique que je reçois est ci-dessous.
Merci!
Howdy [nom],
Vous avez récemment demandé à modifier l'adresse e-mail d'administration sur votre site.
Si cela est correct, veuillez cliquer sur le lien suivant pour le changer: https://siteurl.com/wp-admin/options.php?adminhash=[hash]
Vous pouvez ignorer et supprimer cet email en toute sécurité si vous ne voulez pas entreprendre cette action.
Cet email a été envoyé à [email de l'administrateur actuel]
Cordialement, tous à sitename http://siteurl.com
Je pense que quelqu'un a saisi le formulaire de réinitialisation du mot de passe et que vous avez probablement un identifiant d'utilisateur simple pour l'administrateur, comme "admin" ou autre, c'est donc ce qu'ils ont probablement entré.
L'e-mail dit aussi:
You can safely ignore and delete this email if you do not want to take this action.
Alors ignorez-le.
Ceci est not le courrier électronique envoyé à partir du formulaire de réinitialisation du mot de passe.
Cet e-mail est envoyé lorsque update_option_new_admin_email() est exécuté, c'est-à-dire lorsque l'option site_admin est modifiée. Cette option se trouve sous /wp-admin/options-general.php afin que quiconque tente de modifier le courrier électronique de l'administrateur du site ait accès à cette page. Cet utilisateur doit disposer de la capacité manage_options et, par défaut, uniquement accordée à l'utilisateur doté du rôle d'administrateur.
Si cela se reproduit, vous pouvez consulter l'option adminhash dans la base de données ou par PHP:
$adminhash = get_option( 'adminhash' );
$email = $adminhash[ 'newemail' ];
En plus de ce que @beee sez: vous pouvez créer un nouvel utilisateur de niveau administrateur, vous connecter en tant que cet utilisateur, puis supprimer (ou rétrograder) l'utilisateur nommé 'administrateur'. Remplacez l'adresse électronique de cet utilisateur administrateur par quelque chose d'autre. Dans ce cas, vous ne vous en soucierez pas si quelqu'un essaie de forcer brutalement l'utilisateur nommé "admin".