WordPress权限提升漏洞分析

WordPress博客文章创建过程中存在一个逻辑缺陷，攻击者可以访问只有管理员能够访问的功能，这将导致WordPress core中存在存储型XSS（Stored XSS）和对象注入（Object Injection），也导致WordPress最受欢迎的插件Contact Form 7和Jetpack中存在更为严重的漏洞。

高级JavaScript注入技术

简单的JavaScript注入技术，如’-alert(1)-‘甚至’-alert(1)//，只要脚本块内触发输入反射（input reflection），通常无需借助HTML注入攻击，就能引发易受攻击页面弹出警报框。 但是在某些情况下，注入点可能会位于更加复杂的JS代码的中间，即在函数和条件语句内部（if或if+else），并且，它们还经常会嵌套在一起。