WordPress Plugin Like Button 1.6.0身份验证旁路误差清静通告

宣布时间 2019-07-10

误差编号和级别


CVE编号：CVE-2019-13344，，， ，危险级别：中危，，， ，CVSS分值：5.3


影响版本


受影响的版本


适用于WordPress CRUDLab WP Like Button插件1.6.0及之前版本。 。。。。 。。。


误差概述


WordPress是WordPress基金会的一套使用PHP语言开发的博客平台。 。。。。 。。。该平台支持在PHP和MySQL的效劳器上架设小我私家博客网站。 。。。。 。。。CRUDLab WP Like Button plugin是使用在其中的一个用于在页面上添加按钮的插件。 。。。。 。。。


WordPress CRUDLab WP Like Button插件1.6.0及之前版本中保存身份验证旁路误差。 。。。。 。。。该误差源于wp_like_button.php中的contains()函数未检查目今请求是否由授权用户举行，，， ，因此允许任何未经身份验证的用户乐成更新设置。 。。。。 。。。


误差验证


误差EXP：https://www.exploit-db.com/exploits/47078。 。。。。 。。。


修复建议


现在厂商暂未宣布修复步伐解决此清静问题，，， ，建议使用此软件的用户随时关注厂商主页或参考网址以获取解决步伐：

https://wordpress.org/plugins/wp-like-button。 。。。。 。。。


参考链接


http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-201907-313