开发者社区> 问答> 正文

【漏洞公告】WordPress REST API 内容注入/权限提升漏洞

正禾 2017-02-04 09:42:05 2202
WordPress 是一个以 PHP 和 MySQL 为平台的自由开源的博客软件和内容管理系统,至少有 1800 万个网站使用该系统。在 4.7.0 版本后,REST API 插件的功能被集成到 WordPress 中,由此也引发了一些安全性问题。

WordPress REST API 内容注入/权限提升漏洞于 1 月 22 日被安全公司 Sucuri 研究员 Marc-Alexandre Montpas 发现并告知 WordPress 。经过 WordPress 紧急修复于 1 月 26 日(上周四)发布安全更新。

漏洞编号:暂无

官方评级:高危

漏洞描述:  
WordPress 在 4.7.0 版本后集成了原 REST API 插件的功能,并默认启用,设置为非Plain模式,使用 WordPress 程序的网站首页上会有:
<link rel="https://" href="http://wp-json/">
API 地址则为: http://wp-json/,通过该API的GET和POST请求,未经授权的攻击者利用该漏洞可注入恶意内容,以及进行提权,对文章、页面等内容进行修改,严重情况下,可以出现敏感数据泄露。


漏洞影响范围:  

WordPress 4.7.0
WordPress 4.7.1


漏洞修复建议(或缓解措施):
[font=微软雅黑, &]推荐升级到官方最新版本:

中文版WordPress 4.7.2下载
英文版WordPress 4.7.2下载


情报来源:
  • https://2017/02/content-injection-vulnerability-wordpress-rest-api.html
  • https://news/2017/01/wordpress-4-7-2-security-release/



分享到
取消 提交回答
全部回答(1)
  • 51干警网
    2017-02-04 11:33:27
    已经升级到最新版~
    0 0
+ 订阅

时时分享云计算技术内容,助您降低 IT 成本,提升运维效率,使您更专注于核心业务创新。

推荐文章