CVE-2024-11396

Event monster <= 1.4.3 - 通过访客列表导出造成信息泄露

描述

Event Monster – 事件管理、门票预订、即将举办活动的WordPress插件在所有版本（包括1.4.3）中，通过访客列表导出文件存在信息泄露漏洞。在导出过程中，CSV文件会以硬编码的文件名创建在wp-content文件夹中，且该文件可公开访问。这使得未认证的攻击者能够提取事件访客的数据，包括名字、姓氏、电子邮件和电话号码。

详情

• 类型: plugin
• Slug: event-monster
• 受影响版本: 1.4.3
• CVSS分数: 5.3
• CVSS等级: 中等
• CVSS向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
• CVE: CVE-2024-11396
• 状态: 活跃

POC

https://www.wordpress.lan/wp-content/uploads/visitors-list.csv