Wordpress中http.php文件wp_http_validate_url函数对输入IP验证不当漏洞
wordpress /wp-includes/http.php文件中的wp_http_validate_url函数对输入IP验证不当,导致黑客可构造类似于012.10.10.10这样的畸形IP绕过验证,进行SSRF。
修复方法:编辑wp-includes目录下的http.php,找到如下代码,大约在第533行:
$same_host = strtolower( $parsed_home['host'] ) === strtolower( $parsed_url['host'] );
替换成以下代码:
$same_host = (strtolower($parsed_home['host']) === strtolower($parsed_url['host']) || 'localhost' === strtolower($parsed_url['host']));
保存覆盖即可。
- wordpress的post.php任意文件删除漏洞临时修复方法
- 利用WordPress内置函数调用网站各种统计数据
- 使用WordPress条件判断函数在特定页面执行特定代码
- WordPress在每篇文章内容上方和下方添加指定内容的方法
本文标题:《Wordpress中http.php文件wp_http_validate_url函数对输入IP验证不当漏洞》
本文链接:https://zhangwenbao.com/http-php-file-wp_http_validate_url-function-in-wordpress-to-verify-improper-loopholes-in-input-ip.html