发布于 2017-02-04 21:50:33 | 196 次阅读 | 评论: 0 | 来源: 网友投递
WordPress开源博客平台
WordPress是一种使用PHP语言开发的博客平台，用户可以在支持PHP和MySQL数据库的服务器上架设属于自己的网站。也可以把 WordPress当作一个内容管理系统（CMS）来使用。
WordPress REST API 内容注入/权限提升漏洞于 1 月 22 日被安全公司 Sucuri 研究员 Marc-Alexandre Montpas 发现并告知 WordPress 。经过 WordPress 紧急修复,于 1 月 26 日发布安全更新。
漏洞编号：暂无
官方评级：高危
漏洞描述：
WordPress 在 4.7.0 版本后集成了原 REST API 插件的功能，并默认启用，设置为非Plain模式，使用 WordPress 程序的网站首页上会有：
<link rel="https://api.w.org/" href="http://www.xxx.com/wp-json/">
WordPress REST API 地址则为：http://xxx.com/wp-json/
通过该API的GET和POST请求，未经授权的攻击者利用该漏洞可注入恶意内容，以及进行提权，对文章、页面等内容进行修改，严重情况下，可以出现敏感数据泄露。
漏洞影响范围：
WordPress 4.7.0
WordPress 4.7.1
漏洞修复建议(或缓解措施)：
升级到官方最新版本 WordPress 4.7.2