wordpress rest api 漏洞又来了CVE-2017-5487 上次是修改文章内容这次可是泄露用户数据

简介:

在2月份的时候, wordpress rest api 曾经爆出过越权漏洞 ,结果是黑客可以修改文章内容。3月3日,REST API又出现了越权漏洞,成功的利用这个漏洞,可以绕过管理员权限泄露用户数据。

CVE-2017-5487影响范围

影响版本WordPress 4.7.0,目前poc已经在exploitdb上公开

https://www.exploit-db.com/exploits/41497/

POC看起来比较简单,就是调用了wordpress的rest api接口进行users查询

WordPress%20rest%20api%20CVE-2017-5487.p

问题出在检查用户的权限上

通过检查代码,可以看到用户请求首先进入get_items_permissions_check模块进行权限检查,当请求users参数时,用来检查请求是否有读的权限,否则爆出WP_Error错误。

绿盟科技的研究员称,但在利用漏洞之后,

有意思的事情发生了,我们什么事情也没做,竟然完美的避开了权限检查的三个判定,接下来进入下个环节get_items函数,检索所有的用户。

但查询返回的可以查询的用户信息是有约束条件的,这里可以查询的用户发表过公开的文章,包括日志、页面或者附件。

那是因为REST API不安全吗?

查询一下历史记录就可以看到 REST API漏洞出过不少次,那是因为这东西设计的很烂吗?也不能完全这么说,还可以通过安全措施来降低安全风险的,这个方面可以看看这份 REST API 安全设计指南


原文发布时间:2017年3月24日

本文由:绿盟科技发布,版权归属于原作者

原文链接:http://toutiao.secjia.com/wordpress-rest-api-cve-2017-5487

本文来自云栖社区合作伙伴安全加,了解相关信息可以关注安全加网站

相关文章
|
26天前
|
机器学习/深度学习 缓存 数据处理
《零基础实践深度学习》2.3.3 校验数据有效性 基于飞桨Dataset和DataLoader API完成数据处理
这篇文章详细介绍了在深度学习任务中进行数据处理的步骤,包括数据校验、封装数据读取与处理函数、使用飞桨Dataset和DataLoader API完成数据加载,以及数据增强/增广的方法和实践,旨在确保数据的有效性和提高模型训练效果。
|
15天前
|
存储 JSON API
淘系API接口(解析返回的json数据)商品详情数据解析助力开发者
——在成长的路上,我们都是同行者。这篇关于商品详情API接口的文章,希望能帮助到您。期待与您继续分享更多API接口的知识,请记得关注Anzexi58哦! 淘宝API接口(如淘宝开放平台提供的API)允许开发者获取淘宝商品的各种信息,包括商品详情。然而,需要注意的是,直接访问淘宝的商品数据API通常需要商家身份或开发者权限,并且需要遵循淘宝的API使用协议。
淘系API接口(解析返回的json数据)商品详情数据解析助力开发者
|
6天前
CoreDownload - WordPress文章下载增强插件v1.0.6
CoreDownload 是一款高级WordPress 下载增强插件,支持几乎所有网盘,为WordPress增加任意下载功能,目前免费提供使用。 安装插件后,在设置中全局开启。然后编辑文章,可以在下面找到CoreDownload下载增强功能。
13 0
CoreDownload - WordPress文章下载增强插件v1.0.6
|
12天前
|
XML JSON API
淘宝京东商品详情数据解析,API接口系列
淘宝商品详情数据包括多个方面,如商品标题、价格、图片、描述、属性、SKU(库存量单位)库存、视频等。这些数据对于买家了解商品详情以及卖家管理商品都至关重要。
|
19天前
|
数据采集 API 开发工具
淘系商品详情数据解析(属性youhui券sku详情图等)API接口开发系列
在电商领域,特别是像淘宝(淘系)这样的平台,商品详情数据对于商家、开发者以及数据分析师来说至关重要。这些数据包括但不限于商品属性、优惠券信息、SKU(Stock Keeping Unit)详情、商品图片、售后保障等。然而,直接访问淘宝的内部API接口通常需要特定的权限和认证,这通常只对淘宝的合作伙伴或内部开发者开放。 不过,对于需要这些数据的第三方开发者或商家,有几种方式可以间接获取或解析淘系商品详情数据: ——在成长的路上,我们都是同行者。这篇关于商品详情API接口的文章,希望能帮助到您。期待与您继续分享更多API接口的知识,请记得关注Anzexi58哦!
|
18天前
|
存储 算法 Java
Go 通过 Map/Filter/ForEach 等流式 API 高效处理数据
Go 通过 Map/Filter/ForEach 等流式 API 高效处理数据
|
23天前
|
数据挖掘 API 开发者
有哪些日常用的淘系商品详情API接口数据解析
淘系商品详情数据接口提供了丰富的API接口,这些接口允许开发者实时获取淘宝、天猫等平台上商品的详细信息。以下是一些常用的API接口: ——在成长的路上,我们都是同行者。这篇关于商品详情API接口的文章,希望能帮助到您。期待与您继续分享更多API接口的知识,请记得关注Anzexi58哦!
|
23天前
|
数据采集 数据挖掘 API
淘系商品评论数据解析(商品评论API接口系列)
在淘宝平台上,商品评论是消费者购买决策的重要依据,也是商家了解产品反馈、优化服务的重要渠道。然而,淘宝官方并不直接提供公开的API接口用于批量获取商品评论数据,这主要是出于保护用户隐私和防止数据滥用的考虑。不过,我们可以通过一些合法合规的方式和工具来间接获取或分析这些数据。 ——在成长的路上,我们都是同行者。这篇关于评论API接口的文章,希望能帮助到您。期待与您继续分享更多API接口的知识,请记得关注Anzexi58哦!
|
26天前
|
JSON 前端开发 API
【淘系】商品详情属性解析(属性规格详情图sku等json数据示例返回参考),淘系API接口系列
在淘宝(或天猫)平台上,商品详情属性(如属性规格、详情图、SKU等)是商家在发布商品时设置的,用于描述商品的详细信息和不同规格选项。这些信息对于消费者了解商品特性、进行购买决策至关重要。然而,直接通过前端页面获取这些信息的结构化数据(如JSON格式)并非直接暴露给普通用户或开发者,因为这涉及到平台的商业机密和数据安全。 不过,淘宝平台提供了丰富的API接口(如淘宝开放平台API),允许有资质的开发者或合作伙伴通过编程方式获取商品信息。这些API接口通常需要注册开发者账号、申请应用密钥(App Key)和秘钥(App Secret),并遵守淘宝的API使用协议。
|
30天前
|
JSON 数据管理 关系型数据库
【Dataphin V3.9】颠覆你的数据管理体验!API数据源接入与集成优化,如何让企业轻松驾驭海量异构数据,实现数据价值最大化?全面解析、实战案例、专业指导,带你解锁数据整合新技能!
【8月更文挑战第15天】随着大数据技术的发展,企业对数据处理的需求不断增长。Dataphin V3.9 版本提供更灵活的数据源接入和高效 API 集成能力,支持 MySQL、Oracle、Hive 等多种数据源,增强 RESTful 和 SOAP API 支持,简化外部数据服务集成。例如,可轻松从 RESTful API 获取销售数据并存储分析。此外,Dataphin V3.9 还提供数据同步工具和丰富的数据治理功能,确保数据质量和一致性,助力企业最大化数据价值。
90 1