WordPress CMS 未建复缝隙安全公告
颁布功夫 2018-06-27缝隙编号和级别
CVE-2018-12895 高危 CVSS分值：官方未评定
影响领域
该缝隙影响所有WordPress CMS版本， ，，，，， ，，蕴含最新版本v4.9.6。。。。。。。
缝隙概述
利用此缝隙使攻击者可能删除WordPress装置的任何文件（+ PHP服务器上的任何其他文件， ，，，，， ，，PHP过程用户拥有适当的删除权限）。。。。。。。 除了删除整个WordPress装置的可能性（若是没有当前备份可用会导致苦难性后果）， ，，，，， ，，攻击者能够利用肆意文件删除职能绕过一些安全措施并在Web服务器上执行肆意代码。。。。。。。 更确切地说， ，，，，， ，，能够删除以下文件：
.htaccess： 通常， ，，，，， ，，删除此文件不会有任何安全后果。。。。。。。 但是， ，，，，， ，，在某些情况下， ，，，，， ，， .htaccess 文件蕴含与安全有关的约束（例如， ，，，，， ，，对某些文件夹的接见限度）。。。。。。。 删除此文件将会禁用这些安全限度。。。。。。。
index.php文件： 通常情况下， ，，，，， ，，将空的 index.php 文件搁置到目录中， ，，，，， ，，以预防Web服务器无法执行的情况下的目录列表。。。。。。。 删除这些文件将为攻击者提供一份列表， ，，，，， ，，列出受此措施�；；；；；；；；さ哪柯贾械乃形募�。。。。。。
wp-config.php： 删除这个WordPress装置文件会鄙人次接见该网站时触发WordPress装置过程。。。。。。。 这是由于 wp-config.php 蕴含数据库凭证， ，，，，， ，，若是没有它， ，，，，， ，，WordPress的行为就如同它尚未装置。。。。。。。 攻击者能够删除该文件， ，，，，， ，，使用治理怨厥户选择的痛处进行装置过程， ，，，，， ，，最后在服务器上执行肆意代码。。。。。。。
缝隙验证
缝隙验证视频
http://player.youku.com/embed/XMzY4OTIzNDc4NA==
建复建议
缝隙发现者， ，，，，， ，，颁布了一个一时建补步骤：
参考https://blog.ripstech.com/2018/wordpress-file-delete-to-code-execution/
Temporary Hotfix
功夫线
2017年11月20日在Hackerone上向WordPress安全团队汇报缝隙。。。。。。。
2017年11月22日这个缝隙被安全团队分类和验证。。。。。。。
2017年12月12日询问进展情况。。。。。。。
2017年12月18日Wordpress在开发一个补丁法式。。。。。。。 要求颁布日期。。。。。。。 没有反映。。。。。。。
2018年01月09日要求颁布日期。。。。。。。没有反映。。。。。。。
2018年01月20日由于问题的严沉性和不足沟通， ，，，，， ，，被要求对Hackerone进行排解。。。。。。。
2018年01月24日WordPress安全团队估计必要6个月的功夫能力建复。。。。。。。
2018年05月24日询问有关问题的进展和/或打算， ，，，，， ，，并提醒我们尽快颁布。。。。。。。没有反映。。。。。。。
2018年05月24日将推特DM发送给安全团队， ，，，，， ，，以确保他们不会忽略Hackerone上的新闻。。。。。。。
2018年06月26日汇报实现后7个月以上仍未解决问题。。。。。。。
参考链接
https://blog.ripstech.com/2018/wordpress-file-delete-to-code-execution/
https://nvd.nist.gov/vuln/detail/CVE-2018-12895
京公网安备11010802024551号