漏洞关键信息总结 漏洞概述 CVE编号: CVE-2023-5711 漏洞类型: 逻辑控制破坏 (Broken Logical Control) / 敏感数据暴露 (Sensitive Data Exposure) 描述: 在 System Dashboard 插件中发现了一个安全漏洞。该漏洞允许拥有“订阅者”（Subscriber，最低权限）或更高权限的认证用户，通过 AJAX 请求触发 函数。由于缺乏能力检查（capability check），攻击者可以获取 phpinfo() 输出及插件能访问的关于 Web 应用程序的所有敏感信息。 影响范围 受影响插件: System Dashboard 受影响版本: <= 2.8.7 严重等级: Medium (中等) 利用条件: 攻击者需具备订阅者级别或更高的认证权限。 修复方案 1. 更新插件: 将 System Dashboard 插件更新到插件开发者提供的最新修补版本。 2. 实施权限控制: 实施适当的访问控制和能力检查，以限制对敏感功能或数据的访问。 3. 代码审计: 定期审计和监控插件代码中的漏洞，并及时应用安全补丁。 4. 安全意识: 教育用户（特别是管理员和开发者）关于保护敏感信息和实践安全编码的重要性。 5. 防御措施: 考虑使用安全插件或 Web 应用防火墙 (WAF) 来检测和阻止未经授权的访问尝试。 利用代码 (POC)**