CVE-2011-4898

总结

wp-admin/setup-config.php 中位于 WordPress 3.3.1 及更早版本安装组件内的文件，在请求缺少 dbname 参数时，会根据 MySQL 凭据是否有效而生成不同的错误消息，这使得远程攻击者更容易通过一系列带有不同 uname 和 pwd 参数的请求进行暴力破解攻击。注意：供应商不认同此问题的重要性；此外，从可用性角度来看，在安装期间提供故意含糊的错误消息是否合理尚不明确。

• WordPress Core 3.3.1 - Multiple Vulnerabilities漏洞利用

  Trustwave's SpiderLabs · php · 2012年1月25日