CVE-2017-8295 in WordPress
Zusammenfassung
von VulDB • 15.06.2026
WordPress bis Version 4.7.4 verlässt sich auf den HTTP-Host-Header für eine E-Mail-Nachricht zum Zurücksetzen des Passworts, was es benutzerassistierten Remote-Angriffern erleichtert, beliebige Passwörter zurückzusetzen, indem sie eine manipulierte wp-login.php?action=lostpassword-Anfrage stellen und dann dafür sorgen, dass diese E-Mail abgelehnt oder erneut gesendet wird, wodurch der Zurücksetzungsschlüssel an einen Posteingang auf einem vom Angreifer kontrollierten SMTP-Server übertragen wird. Dies steht im Zusammenhang mit einer problematischen Verwendung der SERVER_NAME-Variablen in wp-includes/pluggable.php in Verbindung mit der PHP mail-Funktion.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.