最流行的Wordpress最近新发布的3.3.1出现漏洞了，现在公布一下漏洞细节……Quicl’sBlog一直在关注着Wordpress的漏洞，并且通过网络搜集第一时间为广大Wordpress用户提供Wordpress漏洞。大家可以访问我的“电脑网络”——“无限相关”内容查找有关网络安全、Wordpress博客漏洞、Wordpress插件漏洞等信息哦。
漏洞公告在这：www.securityfocus.com/archive/1/521359/30/60/threaded
Trustwave发布的，北京知道创宇的官网也贴了个：https://www.trustwave.com/spiderlabs/advisories/TWSL2012-002.txt
下面是北京治堵创宇的漏洞情报：看看最后官方的答复，认为可以忽略。Trust wave避轻就重，还赚了三个CVE，这些漏洞是有场景的：wp没安装过的情况下才可以。来一个个看下。
第一个：PHP Code Execution and Persistent Cross Site scripting Vulnerabilities via ‘setup-config.php’ page
Trust wave说wp的安装脚本文件有安全风险，安装时可以使用攻击者自己的数据库，安装后登陆wp后台，主题编辑可以写任意PHP代码，然后远程命令执行就是这样来的。而XSS是攻击者通过修改自己数据库里的值(比如评论、文章等)为恶意的XSS脚本，然后用户访问wp就会中招。这个很好理解，只是满足这样攻击场景的太少了……所以这第一个CVE太忽悠。
第二个：Multiple Cross Site scripting Vulnerabilities in ‘setup-config.php’ page
我写出了POC了，原理是北京知道创宇大牛以前发的一篇《基于CSRF的XSS攻击》，最新的还有效(官方应该不会发布补丁)，只是这个场景和第一个一样少的可怜……不过Trust wave与wp官方的重点没放在这。
评论