漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-017233
漏洞标题：WordPress 3.5最新版本存在XSS高危漏洞(附修复办法)
相关厂商：wordpress
漏洞作者： 微笑Style
提交时间：2013-01-12 14:56
修复时间：2013-01-12 14:56
公开时间：2013-01-12 14:56
漏洞类型：xss跨站脚本攻击
危害等级：中
自评Rank：5
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-01-12： 积极联系厂商并且等待厂商认领中，细节不对外公开
2013-01-12： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
源程序为对搜索词进行有效过滤，导致出现XSS
详细说明：
源程序为对搜索词进行有效过滤，导致出现XSS. 大家不要拿我站开刀，欢迎踩我的网站
漏洞证明：
修复方案：
1.屏蔽搜索功能方法（只是系统搜索停止了，但XSS仍旧存在，所以大家放弃吧，用下边成功方法）：
禁止在前台使用WordPress自 带的搜索功能，只需在主题的头文件里修改下面的代码即可。
loudongxiugai
将红色圈起来的 S 字符去掉，搜索功能就停止了，XSS也就没作用了。
2.保留搜素功能，修改源代码法：
如果你懂代码，那你首先找到wp-includes/query.php，在开始位置加上XSS过滤函数，接着在下图位置调用
loudongxiugai2
如果你实在办不了，那好吧。你可以下载我的query.php文件覆盖到你的wp-includes/query.php 下载地址： query.php
版权声明：转载请注明来源 微笑Style@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝