Oturia Smart Google Code Inserter Plugin up to 3.4 on WordPress smartgooglecode.php saveGoogleCode() Parameter 跨站脚本攻击
CVE编号
CVE-2018-3810利用情况
暂无补丁情况
N/A披露时间
2018-01-01漏洞描述
WordPress是WordPress软件基金会的一套使用PHP语言开发的博客平台，该平台支持在PHP和MySQL的服务器上架设个人博客网站。Oturia Smart Google Code Inserter plugin是使用在其中的一个元标记验证添加插件。 WordPress Oturia Smart Google Code Inserter插件3.5之前的版本中存在身份验证绕过漏洞。该漏洞源于smartgooglecode.php文件的‘saveGoogleCode()’函数未能检测当前请求是否来自已授权的用户。攻击者可借助‘sgcgoogleanalytic’参数利用该漏洞更新注入的代码。解决建议
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：https://wordpress.org/plugins/smart-google-code-inserter/受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | oturia | smart_google_code_inserter | * | Up to (excluding) 3.5 | |||||
- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 无
- 影响范围 未更改
- 用户交互 无
- 可用性 高
- 保密性 高
- 完整性 高
| CWE-ID | 漏洞类型 |
| CWE-287 | 认证机制不恰当 |
Exp相关链接
- avd.aliyun.com
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论