CVE-2023-2916
InfiniteWP Client <= 1.11.1 - प्रमाणित (सब्सक्राइबर+) संवेदनशील सूचना प्रकटीकरण
- प्रकाशित
- 15 अग॰ 2023
- अद्यतन
- 8 अप्रैल 2026
- सीएनए असाइन करना
- Wordfence
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:Hमध्यम · अगले 30 दिन
- प्रतिशत
- 97.8%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
WordPress के लिए InfiniteWP Client प्लगइन, संस्करण 1.11.1 तक (इसे शामिल करते हुए), 'admin_notice' फ़ंक्शन के माध्यम से संवेदनशील जानकारी के उजागर होने की भेद्यता से ग्रस्त है। यह सब्सक्राइबर-स्तरीय अनुमतियों या उससे ऊपर वाले प्रमाणित हमलावरों को कॉन्फ़िगरेशन सहित संवेदनशील डेटा निकालने की अनुमति दे सकता है। इसका शोषण केवल तभी किया जा सकता है जब प्लगइन को अभी तक कॉन्फ़िगर नहीं किया गया हो। यदि इसे किसी अन्य मनमाने प्लगइन इंस्टॉलेशन और सक्रियण भेद्यता के साथ जोड़ा जाए, तो किसी साइट को InfiniteWP से जोड़ना संभव हो सकता है, जिससे दूरस्थ प्रबंधन संभव हो सके और विशेषाधिकारों में वृद्धि की अनुमति मिल सके।
स्रोत
CVE-2023-2916 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट जो InfiniteWP Client WordPress प्लगइन में संवेदनशील जानकारी के रिसाव को लक्षित करता है। प्रमाणित सब्सक्राइबर स्तर के उपयोगकर्ताओं से कॉन्फ़िगरेशन विवरण निकालता है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।