CVE-2014-6242

总结

WordPress 的 All In One WP Security & Firewall 插件 3.8.3 之前版本中存在多个 SQL 注入漏洞，允许远程认证用户通过 wp-admin/admin.php 中 aiowpsec 页面的 (1) orderby 或 (2) order 参数执行任意 SQL 命令。注意：该漏洞可利用 CSRF，使远程攻击者执行任意 SQL 命令。

• WordPress Plugin All In One WP Security 3.8.2 - SQL Injection漏洞利用

  High-Tech Bridge SA · php · 2014年9月25日