WordPress Plugin Like Button 1.6.0身份验证旁路缝隙安全公告

颁布功夫 2019-07-10

缝隙编号和级别


CVE编号：CVE-2019-13344，危险级别：中危，CVSS分值：5.3


影响版本


受影响的版本


合用于WordPress CRUDLab WP Like Button插件1.6.0及之前版本。


缝隙概述


WordPress是WordPress基金会的一套使用PHP说话开发的博客平台。该平台支持在PHP和MySQL的服务器上架设幼我博客网站。CRUDLab WP Like Button plugin是使用在其中的一个用于在页面上增长按钮的插件。


WordPress CRUDLab WP Like Button插件1.6.0及之前版本中存在身份验证旁路缝隙。该缝隙源于wp_like_button.php中的contains()函数未查抄当前要求是否由授权用户进行，因而允许任何未经身份验证的用户成功更新设置。


缝隙验证


缝隙EXP：https://www.exploit-db.com/exploits/47078。


建复建议


目前厂商暂未颁布建复措施解决此安全问题，建议使用此软件的用户随时关注厂商主页或参考网址以获取解决法子：

https://wordpress.org/plugins/wp-like-button。


参考链接


http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201907-313