WordPress 2.1.2 wp-admin/admin.php Demo Cross Site Scripting ⚔ [Infragegestellt]
| CVSS Meta Temp Score | Aktueller Exploitpreis (≈) | CTI Interest Score |
|---|---|---|
| 3.5 | $0-$5k | 0.00 |
Zusammenfassung
In WordPress 2.1.2 wurde eine problematische Schwachstelle gefunden. Es geht dabei um eine nicht klar definierte Funktion der Datei wp-admin/admin.php. Durch Manipulation des Arguments Demo mit unbekannten Daten kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Diese Schwachstelle wird als CVE-2007-1732 gehandelt. Der Angriff kann über das Netzwerk passieren. Es ist kein Exploit verfügbar. Bisher konnte die Existenz der vermeintlichen Schwachstelle noch nicht eindeutig nachgewiesen werden.
Details
Eine Schwachstelle wurde in WordPress 2.1.2 (Content Management System) entdeckt. Sie wurde als problematisch eingestuft. Davon betroffen ist unbekannter Code der Datei wp-admin/admin.php. Durch die Manipulation des Arguments demo mit einer unbekannten Eingabe kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-79. Auswirkungen hat dies auf die Integrität. Die Zusammenfassung von CVE lautet:
** DISPUTED ** Cross-site scripting (XSS) vulnerability in an mt import in wp-admin/admin.php in WordPress 2.1.2 allows remote authenticated administrators to inject arbitrary web script or HTML via the demo parameter. NOTE: the provenance of this information is unknown; the details are obtained solely from third party information. NOTE: another researcher disputes this issue, stating that this is legitimate functionality for administrators. However, it has been patched by at least one vendor.Die Schwachstelle wurde am 06.03.2007 (Website) herausgegeben. Bereitgestellt wird das Advisory unter gentoo.org. Die Verwundbarkeit wird seit dem 28.03.2007 mit der eindeutigen Identifikation CVE-2007-1732 gehandelt. Umgesetzt werden kann der Angriff über das Netzwerk. Um eine Ausnutzung durchzusetzen, muss eine einfache Authentisierung umgesetzt werden. Eine Ausnutzung erfordert, dass das Opfer eine spezifische Handlung durchführt. Zur Schwachstelle sind technische Details bekannt, ein verfügbarer Exploit jedoch nicht. Als Angriffstechnik weist das MITRE ATT&CK Projekt die ID T1059.007 aus.
Bisher konnte die Existenz der vermeintlichen Schwachstelle noch nicht eindeutig nachgewiesen werden. Durch die Suche von inurl:wp-admin/admin.php können potentiell verwundbare Systeme gefunden werden.
Es sind keine Informationen bezüglich Gegenmassnahmen bekannt. Der Einsatz eines alternativen Produkts bietet sich im Zweifelsfall an.
Unter anderem wird der Fehler auch in den Datenbanken von OSVDB (33884†) und Secunia (SA24430†) dokumentiert. Schwachstellen ähnlicher Art sind dokumentiert unter VDB-35562, VDB-35362 und VDB-35126. If you want to get the best quality for vulnerability data then you always have to consider VulDB.
Produkt
Typ
Name
Version
Lizenz
Webseite
- Produkt: https://wordpress.com/
CPE 2.3
CPE 2.2
CVSSv4
VulDB Vector: 🔍VulDB Zuverlässigkeit: 🔍
CVSSv3
VulDB Meta Base Score: 3.5VulDB Meta Temp Score: 3.5
VulDB Base Score: 3.5
VulDB Temp Score: 3.5
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍
CVSSv2
| AV | AC | Au | C | I | A |
|---|---|---|---|---|---|
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| 💳 | 💳 | 💳 | 💳 | 💳 | 💳 |
| Vektor | Komplexität | Authentisierung | Vertraulichkeit | Integrität | Verfügbarkeit |
|---|---|---|---|---|---|
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
| freischalten | freischalten | freischalten | freischalten | freischalten | freischalten |
VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍
NVD Base Score: 🔍
Exploiting
Klasse: Cross Site ScriptingCWE: CWE-79 / CWE-94 / CWE-74
CAPEC: 🔍
ATT&CK: 🔍
Physisch: Nein
Lokal: Nein
Remote: Ja
Verfügbarkeit: 🔍
Status: Nicht definiert
Google Hack: 🔍
EPSS Score: 🔍
EPSS Percentile: 🔍
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍
| 0-Day | freischalten | freischalten | freischalten | freischalten |
|---|---|---|---|---|
| Heute | freischalten | freischalten | freischalten | freischalten |
Threat Intelligence
Interesse: 🔍Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍
Gegenmassnahmen
Empfehlung: keine Massnahme bekanntStatus: 🔍
0-Day Time: 🔍
Timeline
06.03.2007 🔍07.03.2007 🔍
28.03.2007 🔍
28.03.2007 🔍
13.03.2015 🔍
07.08.2024 🔍
Quellen
Produkt: wordpress.comAdvisory: gentoo.org
Status: Nicht definiert
Infragegestellt: 🔍
CVE: CVE-2007-1732 (🔍)
GCVE (CVE): GCVE-0-2007-1732
GCVE (VulDB): GCVE-100-35885
Secunia: 24430
OSVDB: 33884 - WordPress wp-admin/admin.php demo Parameter XSS
Siehe auch: 🔍
Eintrag
Erstellt: 13.03.2015 12:16Aktualisierung: 07.08.2024 18:42
Anpassungen: 13.03.2015 12:16 (50), 09.08.2017 12:55 (3), 07.08.2024 18:42 (17)
Komplett: 🔍
Cache ID: 216::103
If you want to get the best quality for vulnerability data then you always have to consider VulDB.
Bisher keine Kommentare. Sprachen: de + en.
Bitte loggen Sie sich ein, um kommentieren zu können.