http://DOMAIN_NAME.TLD/wordpress/wp-login.php?action=rp&key=o7naCKN3OoeU2KJMMsag "  

WordPress 2.8.3 Remote admin reset password
The way Wordpress handle a password reset looks like this: You submit your email adress or username via this form /wp-login.php?action=lostpassword ;
Wordpress send you a reset confirmation like that via email:

"
Someone has asked to reset the password for the following site and username. http://DOMAIN_NAME.TLD/wordpress
Username: admin
To reset your password visit the following address, otherwise just ignore this email and nothing will happen

http://DOMAIN_NAME.TLD/wordpress/wp-login.php?action=rp&key=o7naCKN3OoeU2KJMMsag "

You click on the link, and then Wordpress reset your admin password, and sends you over another email with your new credentials.

Let's see how it works:

http://seclists.org/fulldisclosure/2009/Aug/0113.html
 

function reset_password($key) {
        global $wpdb;

        if ( ! is_string($key))
                return new WP_Error('invalid_key', __('Invalid key'));

        $key = preg_replace('/[^a-z0-9]/i', '', $key);

- Nếu chúng ta điền user name là admin , mail điền đúng mail của thằng admin => nó send vào mail của thằng admin , rồi để thằng admin nó check mail nó reset . Vậy thì muốn xài cách này , mình phải hack được hòm mail của thằng admin để nhanh tay hơn nó , reset xong rồi xóa cái mail luôn để thằng admin nó khỏi đỡ => thêm 1 bước hack email của admin , mà cái này không dễ chút nào ! Mà thật ra nếu đã có mail của admin rồi thì chẳng cần cái bug này làm gì.

- Nếu chúng ta điền user name là admin , mail điền là mail của attacker thì nó báo wrong và không gửi gì cả.

Cái này mới đọc , tưởng ghê , chứ thật ra thì rất khó khai thác. Ở mấy version cũ , nó hiện ra 2 form Username và Email cho mình điền vào , ở version 2.8.3 đỡ hơn một tý , chỉ hiện 1 form , nhưng cái trọng yếu là điền vào để khai thác cái gì đây ? Reset pass admin bằng email của mình à , quên đi nhé !  

Yesterday a vulnerability was discovered: a specially crafted url could be requested that would allow an attacker to bypass a security check to verify a user requested a password reset. As a result, the first account without a key in the database (usually the admin account) would have its password reset and a new password would be emailed to the account owner. This doesn’t allow remote access, but it is very annoying.

We fixed this problem last night and have been testing the fixes and looking for other problems since then. Version 2.8.4 which fixes all known problems is now available for download and is highly recommended for all users of WordPress. 

http://wordpress.org/development/2009/08/2-8-4-security-release/