Segundo a nota do LWN via mensagem da lista Bugtraq, uma falha no sistema de autenticação do Wordpress está sendo ativamente explorada contra blogs, e embora os desenvolvedores tenham sido alertados em 29 de outubro, até o momento não há solução e nem cronograma para que se resolva a questão, que afeta inclusive a versão corrente (2.3.1).

Segundo a mensagem, assinada por Steven J. Murdoch, pesquisador do Grupo de Segurança da Universidade de Cambridge e desenvolvedor do Tor, a falha permite a quem obtenha acesso de leitura da tabela wp_users do banco de dados de qualquer blog baseado no wordpress (ou de um backup dela que você tenha deixado gravado em algum lugar) construir um cookie de autenticação que lhe permite acessar o blog e a interface de administração como se fosse qualquer usuário cadastrado, incluindo o admin - com um efeito semelhante ao que aconteceria se as senhas dos usuários estivessem gravadas sem criptografia na tabela, embora na verdade trata-se apenas de mau uso da criptografia.

Não tenho informações adicionais no momento, mas a mensagem da Bugtraq explica algumas maneiras pelas quais há risco de sua tabela wp_users vir a ser lida por usuários não autorizados (por exemplo: por injeção de código via bugs em seu tema do Wordpress ou em algum módulo, fazendo com que o próprio wordpress liste o conteúdo da tabela no navegador), e dá uma série de sugestões que você pode adotar para reduzir a chance de que isso ocorra.

Saiba mais (lwn.net).