目标: 1000 元 · 已筹: 1000 元
精选漏洞公告、利用分析、安全博客、GHSA Advisory 等情报来源，已自动清洗 + 中英双语呈现，持续更新。
### 关键漏洞信息 #### 描述 - **漏洞类型**: 存储型跨站脚本（Stored XSS） - **受影响插件**: Auto Prune Posts alert(8888)` 3. 保存并查看XSS警告。 #### 影响的插件 - **插件名称**: auto-prune-posts - **修复版本**: 3.0.0 #### 参考资料 - **CVE编号**: CVE-2024-1…
### 关键漏洞信息 #### 描述 - **漏洞类型**: 存储型XSS (Stored Cross-Site Scripting) - **受影响插件**: Happyforms alert(2)'` 3. 将表单添加到页面或帖子。 4. 当点击表单上的提交按钮时，XSS有效载荷将触发。 #### 影响的插件 - **Happyforms**: 已在1.26.3版本中修复。 #### 参考资料…
### 关键信息 #### 漏洞描述 - **漏洞名称**: Lead Form Builder < 1.9.8 - Admin+ Stored XSS - **描述**: 插件未对某些设置进行清理和转义，允许高权限用户（如管理员）执行存储型跨站脚本攻击，即使未过滤的HTML功能被禁用。 #### 影响插件 - **插件名称**: lead-form-builder - **修复版本**: 1.9…
### 关键漏洞信息 #### 描述 - **漏洞类型**: XSS (跨站脚本攻击) - **影响插件**: AVIF & SVG Uploader <= 1.1.0 - **问题**: 插件未对上传的SVG文件进行清理，允许具有Author及以上角色的用户上传包含XSS有效载荷的恶意SVG文件。 #### 影响范围 - **修复版本**: 1.1.1 #### 参考信息 - **CVE编号**…
### 关键漏洞信息 #### 描述 - **漏洞类型**: Admin+ Arbitrary File Download - **受影响插件**: EKC Tournament Manager < 2.2.2 - **描述**: 该插件允许已登录的管理员下载WordPress目录之外的系统文件。 #### 漏洞详情 - **CVE编号**: CVE-2024-9765 - **分类**: - 类…
### 关键信息 #### 描述 - **漏洞类型**: 存储型XSS（Stored Cross-Site Scripting） - **影响版本**: CYAN Backup alert('XSS: excluded!')` 3. 保存并重新加载页面以查看XSS效果。 #### 影响插件 - **插件名称**: cyan-backup - **修复版本**: 2.5.3 #### 参考 - **…
### 关键漏洞信息 #### 描述 - **问题**: 插件在使用参数之前未进行适当的清理和转义，导致SQL注入攻击。 - **影响**: 管理员可以执行SQL注入攻击。 #### 影响的插件 - **插件名称**: website-file-changes-monitor - **修复版本**: 2.1.3 #### 参考 - **CVE编号**: CVE-2024-9879 #### 分类 …
### 关键漏洞信息 #### 描述 - **漏洞类型**: 存储型跨站脚本（Stored XSS） - **受影响插件**: Ultimate Noindex Nofollow Tool II Ultimate Noindex” 2. 在第一个文本区域中添加payload: `alert(/XSS: unn_noindex_pages/)` 3. 点击“Update Options”查看XSS效…
### 关键信息 #### 漏洞描述 - **漏洞名称**: WP-Geshi-Highlight ', 20000)`）。 3. 以管理员身份发布包含有效载荷的新帖子。 4. 监控服务器的CPU使用率和负载。 5. 触发20个并发请求到包含有效载荷的页面。 #### 参考资料 - **其他相关漏洞**: - PS PHPCaptcha < 1.2.0 - Denial of Service (2…
### 关键信息 #### 描述 - **漏洞名称**: Lana Downloads Manager < 1.10.0 - Admin+ Arbitrary File Download via Path Traversal - **描述**: 插件未验证用户输入的路径，允许具有管理员角色的用户执行路径遍历攻击并下载服务器上的任意文件。 #### 影响插件 - **插件名称**: lana-dow…
从这个网页截图中，可以获取到以下关于漏洞的关键信息： 1. **插件名称**：adBuddy+ (AdBlocker Detection) by NetfunkDesign 2. **插件版本**：alert(1)"`，并保存，XSS攻击将被执行。 6. **受影响插件**：adbuddy-adblocker-detection 7. **CVE编号**：CVE-2024-10510 8. **分…
从这个网页截图中，可以获取到以下关于漏洞的关键信息： 1. **插件名称**：Photo Gallery by 10Web < 1.8.31 2. **漏洞类型**：Admin+ Stored XSS 3. **描述**：插件未对某些设置进行清理和转义，允许高权限用户（如管理员）在未过滤的HTML能力被禁止时执行存储型跨站脚本攻击。 4. **证明概念**：提供了一个步骤列表，说明如何利用漏洞。 …
从这个网页截图中，可以获取到以下关于漏洞的关键信息： 1. **插件名称**：Logo Slider < 4.5.0 2. **漏洞类型**：Contributor+ Stored XSS 3. **描述**：插件未对Logo和Slider设置进行清理和转义，允许高权限用户（如Contributor）执行存储型跨站脚本攻击。 4. **修复版本**： - 4.1.0：创建一个Logo，将“Bran…
从这个网页截图中，可以获取到以下关于漏洞的关键信息： 1. **插件名称**：Logo Slider < 4.5.0 2. **漏洞类型**：Author+ Stored XSS 3. **描述**：插件在输出Logo设置时未进行适当的清理和转义，允许具有作者权限的用户执行跨站脚本攻击。 4. **证明概念**： - 创建一个Logo。 - 将“Brand Name”字段更改为“123”并设置为自…
从这个网页截图中，可以获取到以下关于漏洞的关键信息： 1. **插件名称**：Element Pack Elementor Addons < 5.10.3 - Contributor+ Stored XSS 2. **描述**：插件未验证和转义其Cookie Consent块选项，导致用户在页面/帖子中嵌入该块时，可以执行存储型跨站脚本攻击。 3. **证明概念**： - 创建新帖子使用Eleme…
从这个网页截图中，可以获取到以下关于漏洞的关键信息： 1. **插件名称**：Element Pack Elementor Addons Content Caption”设置中插入特定的payload，可以触发XSS攻击。 4. **受影响的插件**：bdthemes-element-pack-lite，已修复在5.10.3版本中。 5. **参考信息**： - CVE编号：CVE-2024-10…
从这个网页截图中，可以获取到以下关于漏洞的关键信息： 1. **插件名称**：Everest Forms < 3.0.4.2 2. **漏洞类型**：Admin+ Stored XSS 3. **描述**：插件未对某些设置进行清理和转义，允许具有高权限的用户（如管理员）在未过滤的HTML能力被禁止时执行存储型跨站脚本攻击。 4. **证明概念**： - 步骤1：创建/编辑一个表单。 - 步骤2：添…
从这个网页截图中，可以获取到以下关于漏洞的关键信息： 1. **插件名称**：YaDisk Files alert(4)"` - 3. 保存并查看XSS 5. **受影响插件**：wp-yadisk-files 6. **CVE编号**：CVE-2024-10710 7. **分类**： - 类型：XSS - OWASP Top 10：A7: Cross-Site Scripting (XSS) …
从这个网页截图中，可以获取到以下关于漏洞的关键信息： 1. **插件名称**：YaDisk Files <= 1.2.5 2. **漏洞类型**：Contributor+ Stored XSS via Shortcode 3. **描述**：插件在输出包含短代码的页面/帖子时，未验证和转义某些短代码属性，允许具有贡献者及以上角色的用户执行存储型跨站脚本攻击。 4. **证明概念**：提供了一个示例…
从这个网页截图中，可以获取到以下关于漏洞的关键信息： 1. **插件名称**：WPForms < 1.9.1.6 2. **漏洞类型**：Admin+ Stored XSS 3. **描述**：插件未对某些设置进行清理和转义，允许具有高权限的用户（如管理员）在未过滤的HTML能力被禁止时执行存储型跨站脚本攻击。 4. **证明概念**：提供了一个示例payload，可以在设置中触发XSS。 5. …
每篇文章经过自动 HTML→Markdown 清洗 + LLM 去噪 + 中英双语翻译。原始链接保留在文章末尾。
想看哪个安全博客 / 公告源？邮件告诉我们，每周新接 1-2 个。