WordPress CMS 未修复误差清静通告

宣布时间 2018-06-27

误差编号和级别


CVE-2018-12895  高危  CVSS分值：官方未评定


影响规模


该误差影响所有WordPress CMS版本，，，，，，，，包括最新版本v4.9.6。。。 。


误差概述


使用此误差使攻击者能够删除WordPress装置的任何文件（+ PHP效劳器上的任何其他文件，，，，，，，，PHP历程用户具有适当的删除权限）。。。 。 除了删除整个WordPress装置的可能性（若是没有目今备份可用会导致灾难性效果），，，，，，，，攻击者可以使用恣意文件删除功效绕过一些清静步伐并在Web效劳器上执行恣意代码。。。 。 更确切地说，，，，，，，，可以删除以下文件：


.htaccess： 通常，，，，，，，，删除此文件不会有任何清静效果。。。 。 可是，，，，，，，，在某些情形下，，，，，，，， .htaccess 文件包括与清静相关的约束（例如，，，，，，，，对某些文件夹的会见限制）。。。 。 删除此文件将会禁用这些清静限制。。。 。


index.php文件： 通常情形下，，，，，，，，将空的 index.php 文件安排到目录中，，，，，，，，以避免Web效劳器无法执行的情形下的目录列表。。。 。 删除这些文件将为攻击者提供一份列表，，，，，，，，列出受此步伐�；；；；；；さ哪柯贾械乃形募�。。。 。


wp-config.php： 删除这个WordPress装置文件会在下次会见该网站时触发WordPress装置历程。。。 。 这是由于 wp-config.php 包括数据库凭证，，，，，，，，若是没有它，，，，，，，，WordPress的行为就似乎它尚未装置。。。 。 攻击者可以删除该文件，，，，，，，，使用治理员帐户选择的凭证举行装置历程，，，，，，，，最后在效劳器上执行恣意代码。。。 。


误差验证


误差验证视频


http://player.youku.com/embed/XMzY4OTIzNDc4NA==


修复建议


误差发明者，，，，，，，，宣布了一个暂时修补要领：


参考https://blog.ripstech.com/2018/wordpress-file-delete-to-code-execution/
Temporary Hotfix

 

凯发·k8(中国游)官方网站

 

时间线


2017年11月20日在Hackerone上向WordPress清静团队报告误差。。。 。
2017年11月22日这个误差被清静团队分类和验证。。。 。
2017年12月12日询问希望情形。。。 。
2017年12月18日Wordpress正在开发一个补丁程序。。。 。 要求宣布日期。。。 。 没有反应。。。 。
2018年01月09日要求宣布日期。。。 。没有反应。。。 。
2018年01月20日由于问题的严重性和缺乏相同，，，，，，，，被要求对Hackerone举行调解。。。 。
2018年01月24日WordPress清静团队预计需要6个月的时间才华修复。。。 。
2018年05月24日询问有关问题的希望和/或妄想，，，，，，，，并提醒我们尽快宣布。。。 。没有反应。。。 。
2018年05月24日将推特DM发送给清静团队，，，，，，，，以确保他们不会忽略Hackerone上的新闻。。。 。
2018年06月26日报告竣事后7个月以上仍未解决问题。。。 。


参考链接


https://blog.ripstech.com/2018/wordpress-file-delete-to-code-execution/
https://nvd.nist.gov/vuln/detail/CVE-2018-12895