CVE:CVE-2021-24585
CNNVD:CNNVD-202109-1312
WordPress是Wordpress基金会的一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress 插件是WordPress开源的一个应用插件。
WordPress Plugin 存在信息泄露漏洞，该漏洞源于 2.4.0 版本之前的 Timetable and Event Schedule 插件在与用户请求事件时间段数据时，在响应中输出与时间段偶数头相关的用户的哈希密码、用户名和电子邮件地址（以及其他不太敏感的数据） 具有 edit_posts 功能。 结合可以设置任意用户 ID 的其他未经授权的事件时间段修改问题 (https://wpscan.com/reports/submissions/4699/)，这可能允许具有 edit_posts 功能的低权限用户（例如作者） 通过迭代 user_id 来检索敏感的用户数据。