WordPress WP Live Chat Support身份验证绕过误差清静通告

宣布时间 2019-06-12

误差编号和级别


CVE编号：CVE-2019-12498， ，，，，，，危险级别：高危， ，，，，，，CVSS分值：官方未评定


影响版本


受影响的版本


适用于WordPress WP Live Chat插件 < 8.0.32。 。。。。。。。


误差概述


WordPress是WordPress软件基金会的一套使用PHP语言开发的博客平台， ，，，，，，该平台支持在PHP和MySQL的效劳器上架设小我私家博客网站。 。。。。。。。WP Live Chat Support是使用在其中的一个即时谈天插件。 。。。。。。。


WordPress WP Live Chat Support插件8.0.32及以前版本中泛起了严重的身份验证绕过误差， ，，，，，，可被不具备有用凭证的黑客使用， ，，，，，，会见原本被限制的RESTAPI端口。 。。。。。。。详细来说， ，，，，，，袒露的REST API端点可能允许潜在的攻击者提取网站中所有谈天会话的完整纪录， ，，，，，，将文本注入正在举行的谈天会话， ，，，，，，编辑注入的新闻， ，，，，，，并“随意竣事正在举行的会话”， ，，，，，，提倡DoS攻击。 。。。。。。。


误差验证


暂无POC/EXP。 。。。。。。。


修复建议


现在厂商已宣布新版本以修复误差， ，，，，，，将插件更新到最新版本https://wordpress.org/plugins/wp-live-chat-support/。 。。。。。。。


参考链接


 https://blog.alertlogic.com/alert-logic-researchers-find-another-critical-vulnerability-in-wordpress-wp-live-chat-cve-2019-12498/