GRAND Flash Album Gallery Plugin for WordPress“f”参数遍历任意目录枚举
medium Nessus 插件 ID 64259
语言：
简介
远程 Web 服务器包含的 PHP 脚本受目录遍历漏洞的影响。描述
远程主机上安装的 Grand Flash Album Gallery Plugin for WordPress 受到一个目录遍历漏洞的影响，造成该漏洞的原因是无法正确审查用户向其“facebook.php”脚本的“f”参数提供的输入。此漏洞允许未经认证的远程攻击者使用包含目录遍历序列的请求来枚举远程主机上的任意目录。据报告，该应用程序还受到多个信息泄露、SQL 注入和任意文件覆盖漏洞的影响，但 Nessus 尚未对这些问题进行测试。
解决方案
升级至 2.10 或更高版本。另见
http://www.waraxe.us/advisory-94.html
https://wordpress.org/plugins/flash-album-gallery/#changelog
插件详情
严重性: Medium
ID: 64259
文件名: wordpress_grand_flagallery_info_disclosure.nasl
版本: 1.12
类型: remote
系列: CGI abuses
发布时间: 2013/1/28
最近更新时间: 2025/5/14
支持的传感器: Nessus
Enable CGI Scanning: true
漏洞信息
CPE: cpe:/a:wordpress:wordpress
必需的 KB 项: installed_sw/WordPress, www/PHP
可利用: true
易利用性: Exploits are available
被 Nessus 利用: true
补丁发布日期: 2012/10/29
漏洞发布日期: 2012/10/24
参考资料信息
BID: 56236