CVE-2017-1001000
Açıklama
WordPress 4.7.x'in 4.7.2 öncesindeki sürümlerinde, REST API içerisindeki wp-includes/rest-api/endpoints/class-wp-rest-posts-controller.php dosyasında bulunan register_routes fonksiyonu bir tam sayı tanımlayıcı gerektirmemektedir; bu durum, uzaktan saldırganların wp-json/wp/v2/posts adresini takip eden sayısal ve sayısal olmayan bir değer içeren bir istek aracılığıyla (wp-json/wp/v2/posts/123?id=123helloworld URI örneğinde olduğu gibi) rastgele sayfaları değiştirmesine olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wordpress wordpress | 4.7, 4.7.1, 4.7.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.