WordPress VideoWhisper Live Streaming Integration多个目录遍历漏洞

BUGTRAQ ID: 65877 CVE(CAN) ID: CVE-2014-1907 WordPress VideoWhisper Live Streaming Integration软件可以将视频广播功能添加到WordPress站点，也可将实时视频流添加到博客页。 VideoWhisper Live Streaming Integration 4.27.3及其他版本没有有效过滤脚本"/wp-content/plugins/videowhisper-live-streaming-integration/ls/rtmp_log in.php"内的"s" HTTP GET参数，远程攻击者通过目录遍历序列利用此漏洞可查看目标系统上的任意文件；也没有有效过滤"/wp-content/plugins/videowhisper-live-streaming-integration/ls/rtmp_log out.php"脚本内的"s" HTTP GET参数，远程攻击者通过目录遍历序列利用此漏洞可删除目标系统上的任意文件。成功利用此漏洞需要系统上存在文件"/tmp/immuniweb"。 0 WordPress VideoWhisper Live Streaming Integration <= 4.27.3 厂商补丁： WordPress --------- 目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载： https://wordpress.org/plugins/videowhisper-live-streaming-integration/screenshots/