Исходное описание
In WordPress before 4.9.9 and 5.x before 5.0.1, when the Apache HTTP Server is used, authors could upload crafted files that bypass intended MIME type restrictions, leading to XSS, as demonstrated by a .jpg file without JPEG data.
Затронутое ПО
- WordPress * совпадение по репозиторию или пакету
Подробности
- Опубликовано
- 2018-12-15
- Последнее изменение
- 2024-08-05
Ссылки
- cve.org/CVE-2018-20149
- nvd.nist.gov/vuln/detail/CVE-2018-20149
- www.securityfocus.com/bid/106220
- wordpress.org/support/wordpress-version/version-5-0-1/
- codex.wordpress.org/Version_4.9.9
- wpvulndb.com/vulnerabilities/9175
- github.com/WordPress/WordPress/commit/246a70bdbfac3bd45ff71c7941deef1bb206b19a
- www.debian.org/security/2019/dsa-4401
- wordpress.org/news/2018/12/wordpress-5-0-1-security-release/
- lists.debian.org/debian-lts-announce/2019/02/msg00019.html
- www.zdnet.com/article/wordpress-plugs-bug-that-led-to-google-indexing-some-user-passwords/
Отслеживайте эти версии на своих серверах
InfraGuard собирает версии установленного ПО со всех серверов и отмечает версии с известными уязвимостями. Self-hosted — данные не покидают вашу сеть.
Этот продукт использует данные NVD API, но не одобрен и не сертифицирован NVD. CVE® — зарегистрированный товарный знак The MITRE Corporation; записи CVE используются в соответствии с Условиями использования CVE Program.