Enable Media Replace WordPress plugin存在路径遍历漏洞-低调大师

Enable Media Replace WordPress plugin存在路径遍历漏洞

2022-10-11 410

漏洞描述

Enable Media Replace WordPress plugin允许用户通过上传新文件来无缝替换媒体库中的图像或文件。

Enable Media Replace插件不确保重命名的文件被移动到上传文件夹，这可能允许管理员等高权限用户通过路径遍历攻击将它们移动到 Web 根目录。

漏洞名称	Enable Media Replace WordPress plugin存在路径遍历漏洞
漏洞类型	路径遍历
发现时间	2022-10-11
漏洞影响广度	极小
MPS编号	MPS-2022-52601
CVE编号	CVE-2022-2554
CNVD编号	-

影响范围

Enable Media Replace@[0, 4.0.0)

修复方案

升级Enable Media Replace到 4.0.0 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-52601

https://nvd.nist.gov/vuln/detail/CVE-2022-2554

https://wpscan.com/vulnerability/5872f4bf-f423-4ace-b8b6-d4cc4f6ca8d9、 POC

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/213221

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

DBCart 多语言商城系统 V3.1 RC 221010 发布

DBCart 企业级开源 (多语言) 商城系统，使用 PHP 语言基于 Laminas + Doctrine 2 组合框架开发完成。可定制、多终端、多场景、多支付、多语言、多货币等特性。严谨的安全机制，可靠稳定；方便的操作管理，节约时间；清晰的权限分配，责任分明；便捷的更新处理，一键搞定；丰富的插件市场，扩展无限。默认支持：简体中文、繁体中文、英文、日文、韩文。后台配置好智能翻译，可以方便的在后台输入框翻译成对应语言内容，再优化修改。省时省力。前台可任意切换不同语言内容。系统框架 Laminas （Zendframework 3） Doctrine 2 环境要求服务器系统Linux、Unix、Mac、Windows、其他 web 服务器Apache、Nginx、IIS、其他 MySQL 版本>= 5.6 PHP 版本>= 7.4 PHP 扩展 | 库 PDO SSL（openssl） Fileinfo intl Curl GD2 系统空间>= 500M 更新日志：修正后台系统设置退货原因不能被修改修正切换语言时间显示进行相关语言的变动修正...

2022-10-11

391

WP 2FA < 2.3.0 存在时间侧信道攻击漏洞

漏洞描述 WP 2FA 是 WordPress 的一款双重身份验证插件。 WP 2FA 在2.3.0之前的版办中使用的比较运算符由于缺少缓解基于时间的攻击措施，攻击者可利用此漏洞获取有关正在比较的身份验证代码的信息，进而绕过身份验证。漏洞名称 WP 2FA < 2.3.0 存在时间侧信道攻击漏洞漏洞类型信息暴露发现时间 2022-10-11 漏洞影响广度小 MPS编号 MPS-2022-55638 CVE编号 CVE-2022-2891 CNVD编号 - 影响范围 WP 2FA@[1.0.0 (20200401), 2.3.0) 修复方案将组件 WP 2FA 升级至 2.3.0 及以上版本参考链接 https://www.oscs1024.com/hd/MPS-2022-55638 https://nvd.nist.gov/vuln/detail/CVE-2022-2891 https://wpscan.com/vulnerability/301b3dce-2584-46ec-92ed-1c0626522120 情报订阅 OSCS(开源软件供应链安全社区)...

2022-10-11

475

资源下载

更多资源

优质分享Android(本站安卓app)

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Oracle Database，又名Oracle RDBMS

Oracle Database，又名Oracle RDBMS，或简称Oracle。是甲骨文公司的一款关系数据库管理系统。它是在数据库领域一直处于领先地位的产品。可以说Oracle数据库系统是目前世界上流行的关系数据库管理系统，系统可移植性好、使用方便、功能强，适用于各类大、中、小、微机环境。它是一种高效率、可靠性好的、适应高吞吐量的数据库方案。

Eclipse（集成开发环境）

Eclipse 是一个开放源代码的、基于Java的可扩展开发平台。就其本身而言，它只是一个框架和一组服务，用于通过插件组件构建开发环境。幸运的是，Eclipse 附带了一个标准的插件集，包括Java开发工具（Java Development Kit，JDK）。

Java Development Kit(Java开发工具)

JDK是 Java 语言的软件开发工具包，主要用于移动设备、嵌入式设备上的java应用程序。JDK是整个java开发的核心，它包含了JAVA的运行环境（JVM+Java系统类库）和JAVA工具。