一、漏洞描述
Muhammad Zeeshan (Xib3rR4dAr) 在 WordPress RSVPMaker 插件（版本 <= 9.3.2）中发现了未经身份验证的 SQL 注入 (SQLi) 漏洞。该漏洞是由于 ~/rsvpmaker-email.php 文件中传入多个 SQL 查询数据参数的安全校验不足，攻击者不经过身份验证即可通过发送恶意数据，从而在数据库中窃取敏感信息。
二、漏洞基本信息
-
漏洞名称：WordPress RSVPMaker SQL 注入漏洞
-
危害等级：严重
-
CVSS评分：9.8
-
厂商：WordPress
-
漏洞来源：WordPress 官方
-
纰漏时间：2022-05-17
-
POC/EXP：暂未公开
-
![WordPress RSVPMaker SQL 注入漏洞预警]( "WordPress RSVPMaker SQL 注入漏洞预警")
三、影响范围
RSVPMaker <= 9.3.2
四、修复建议
将 WordPress RSVPMaker 插件更新到最新的可用版本（至少 9.3.3）。
五、参考链接
patchstack漏洞数据库
https://patchstack.com/database/vulnerability/rsvpmaker/wordpress-rsvpmaker-plugin-9-3-2-unauthenticated-sql-injection-sqli-vulnerability
六、历史文章
CVE-2022-0847(含利用过程)
阿里斯，公众号：小白学ITCVE-2022-0847【漏洞预警】
CVE-2022-23131(漏洞预警)
阿里斯，公众号：小白学ITCVE-2022-23131(漏洞预警)
clash爆出rce【漏洞预警】
阿里斯，公众号：小白学ITclash爆出rce【漏洞预警】
关于俄罗斯与乌克兰的解读【转载】
阿里斯，公众号：小白学IT关于俄罗斯与乌克兰的解读【转载】
原文始发于微信公众号（小白学IT）：WordPress RSVPMaker SQL 注入漏洞预警
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论