WordPress WP Live Chat Support身份验证绕过缝隙安全公告

颁布功夫 2019-06-12

缝隙编号和级别


CVE编号：CVE-2019-12498 ，危险级别：高危 ，CVSS分值：官方未评定


影响版本


受影响的版本


合用于WordPress WP Live Chat插件 < 8.0.32。


缝隙概述


WordPress是WordPress软件基金会的一套使用PHP说话开发的博客平台 ，该平台支持在PHP和MySQL的服务器上架设幼我博客网站。WP Live Chat Support是使用在其中的一个即时谈天插件。


WordPress WP Live Chat Support插件8.0.32及以前版本中出现了严沉的身份验证绕过缝隙 ，可被不具备有效凭证的黑客利用 ，接见正本被限度的RESTAPI端口。具体来说 ，露出的REST API端点可能允许潜在的攻击者提取网站中所有谈天会话的齐全纪录 ，将文本注入在进行的谈天会话 ，编纂注入的新闻 ，并“轻易实现在进行的会话” ，提议DoS攻击。


缝隙验证


暂无POC/EXP。


建复建议


目前厂商已颁布新版本以建复缝隙 ，将插件更新到最新版本https://wordpress.org/plugins/wp-live-chat-support/。


参考链接


 https://blog.alertlogic.com/alert-logic-researchers-find-another-critical-vulnerability-in-wordpress-wp-live-chat-cve-2019-12498/