VDB-11346 · OSVDB 100487 · GCVE-100-11346

WordPress 3.6 Installation Path раскрытие информации ⚔ [Спорный]

CVSS Meta Temp ScoreТекущая цена эксплойта (≈)Балл интереса CTI
5.1$0-$5k0.00

СводкаИнформация

Обнаружена уязвимость, классифицированная как проблематичный, в WordPress 3.6. Неизвестная функция вовлечена. Выполнение манипуляции приводит к раскрытие информации (Installation Path). Эксплойт не найден. Реальное существование этой уязвимости на данный момент вызывает сомнения. Рекомендуется провести обновление затронутого компонента.

ПодробностиИнформация

Обнаружена уязвимость, классифицированная как проблематичный, в WordPress 3.6. Неизвестная функция вовлечена. Выполнение манипуляции приводит к раскрытие информации (Installation Path). Указание проблемы через CWE ведет к CWE-200. Данная уязвимость была опубликована 29.11.2013 исследователем MustLive с идентификатором Vulnerabilities hiddenly fixed in WordPress 3.6 and 3.6.1 в виде Mailinglist Post (Full-Disclosure). Консультацию можно прочитать на сайте seclists.org. Публичный релиз был скоординирован в сотрудничестве с поставщиком. В данном раскрытии указано следующее:

As I wrote in November (http://websecurity.com.ua/6904/), there are 3 FPD vulnerabilities, which were hiddenly fixed in WP 3.6.1. They were not mentioned in announcement or Codex. Even there were cases, when WP developers wrote about fixed FPD in official announcements.

Техническая информация предоставлена. Данная уязвимость менее популярна, чем в среднем. Эксплойт не найден. На данный момент актуальная стоимость эксплойта может быть около USD $0-$5k. Проект MITRE ATT&CK определяет технику атаки как T1592.

Присвоено значение Не определено. В качестве 0-day ориентировочная цена на подпольном рынке составляла около $5k-$25k. Реальное существование этой уязвимости на данный момент вызывает сомнения.

Обновление до версии 3.6.1 позволяет устранить данную проблему. Если display_errors = off задан, то можно смягчить проблему, применив конфигурационную настройку display_errors = off. Рекомендуется провести обновление затронутого компонента.

ПродуктИнформация

Тип

Имя

Версия

Лицензия

Веб-сайт

CPE 2.3Информация

CPE 2.2Информация

CVSSv4Информация

VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv3Информация

VulDB Meta Base Score: 5.3
VulDB Meta Temp Score: 5.1

VulDB Базовый балл: 5.3
VulDB Временная оценка: 5.1
VulDB Вектор: 🔍
VulDB Надёжность: 🔍

CVSSv2Информация

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
ВекторСложностьАутентификацияКонфиденциальностьЦелостностьДоступность
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать
РазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокироватьРазблокировать

VulDB Базовый балл: 🔍
VulDB Временная оценка: 🔍
VulDB Надёжность: 🔍

ЭксплуатацияИнформация

Имя: Installation Path
Класс: раскрытие информации / Installation Path
CWE: CWE-200 / CWE-284 / CWE-266
CAPEC: 🔍
ATT&CK: 🔍

Физический: Нет
Локальный: Нет
Удалённый: Да

Доступность: 🔍
Статус: Не определено
Прогноз цен: 🔍
Оценка текущей цены: 🔍

0-DayРазблокироватьРазблокироватьРазблокироватьРазблокировать
СегодняРазблокироватьРазблокироватьРазблокироватьРазблокировать

Разведка угрозИнформация

Интерес: 🔍
Активные акторы: 🔍
Активные группы APT: 🔍

КонтрмерыИнформация

Рекомендация: Обновление
Статус: 🔍

0-дневное время: 🔍

Обновление: WordPress 3.6.1
Config: display_errors = off

ХронологияИнформация

29.11.2013 🔍
03.12.2013 +4 дни 🔍
23.03.2019 +1936 дни 🔍

ИсточникиИнформация

Продукт: wordpress.com

Консультация: Vulnerabilities hiddenly fixed in WordPress 3.6 and 3.6.1
Исследователь: MustLive
Статус: Подтверждённый
Скоординированный: 🔍
Спорный: 🔍

GCVE (VulDB): GCVE-100-11346
OSVDB: 100487

Разное: 🔍
Смотрите также: 🔍

ВходИнформация

Создано: 03.12.2013 16:31
Обновлено: 23.03.2019 15:52
Изменения: 03.12.2013 16:31 (49), 23.03.2019 15:52 (2)
Завершенный: 🔍
Cache ID: 216:8CA:103

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Обсуждение

Комментариев пока нет. Языки: ru + be + en.

Пожалуйста, войдите в систему, чтобы прокомментировать.

◂ ПредыдущийОбзорДалее ▸

Do you need the next level of professionalism?

Upgrade your account now!