漏洞关键信息 漏洞名称: Jetpack < 12.1.1 - Author+ Arbitrary File Manipulation via API 描述: - 插件不验证上传的文件，允许具有作者角色或更高角色的用户操纵站点上的现有文件，删除任意文件，并在极少数情况下通过 phar 反序列化实现远程代码执行。 验证概念 (PoC): - 其中 是站点 Jetpack 博客 ID。 受影响的插件: - Jetpack (已被修复在 12.1.1 版本中) 参考链接: - CVE: CVE-2023-2996 - URL: jetpack.com/blog/jetpack-12-1-1-critical-security-update/ 其他信息: - 原始研究员: Miguel Neto - 提交者: WPScan - 提交者网站: https://wpscan.com - 验证状态: 已验证 - WPVDB ID: 52d221bd-ae42-435d-a90a-60a5ae530663 时间线: - 公开发布日期: 2023-05-30 - 添加日期: 2023-05-30 - 最后更新日期: 2023-05-30