Websecurity - Веб безпека

У версії WordPress 3.5.2 розробники виправили багато уразливостей. Але є уразливості, що були виправлені в цій версії, про які розробники WP навмисно не повідомили (для применшення офіційної кількості виправлених дірок).

У липні, 02.07.2013, я дослідив зміни в останній версії движка і виявив Full path disclosure уразливість. Про яку не згадали в описі релізу WP 3.5.2 (при тому, що вони згадали про іншу FPD). Що типово для розробників WP - ще з 2007 року вони часто приховують виправлені уразливості.

Раніше я вже писав про XXE уразливість в WordPress.

Full path disclosure (WASC-13):

http://site/wp-admin/users.php?s=http://

Має місце FPD при пошуку в розділі Users (коли рядок пошуку починається з http:// або https://).

Уразливі версії WordPress 3.4 - 3.5.1.

This entry was posted on 23:55 05.07.2013 and is filed under Новини сайту, Уразливості. You can follow any responses to this entry through the RSS 2.0 feed.