GamiPress – WordPress <= 7.1.5 中排名第一的游戏化插件，用于奖励积分、成就、徽章和排名 - 通过 gamipress_get_user_earnings 执行未经身份验证的任意短代码 (CVE-2024-11036)
CVE编号
CVE-2024-11036
利用情况
暂无
补丁情况
N/A
披露时间
2024-11-19
漏洞描述
GamiPress插件（WordPress排名第一的游戏化插件，用于在WordPress中奖励积分、成就、徽章和排名）存在任意短代码执行漏洞。该漏洞存在于所有直至并包括7.1.5版本的版本中，通过gamipress_get_user_earnings AJAX动作触发。原因是该软件允许用户执行操作，但在执行do_shortcode之前没有正确验证值。这使得未经验证的攻击者能够执行任意短代码。
解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
文章评论