漏洞标题
智能 <= 1.4.0 - 未认证的完整路径披露
漏洞描述信息
WordPress的Intelligence插件在所有版本直至1.4.0版本中都存在全路径披露的漏洞。这是由于插件未能阻止直接访问/vendor/levelten/intel/realtime/index.php文件，且display_errors被启用。这意味着未授权的攻击者可以检索Web应用程序的完整路径，这可能有助于进行其他攻击。显示的信息本身没有用处，需要存在其他漏洞才能对受影响的网站造成损害。
说明：
1. **全路径披露**：这是网络安全的一个严重问题，当应用或服务暴露了它们的内部结构或文件系统路径时，攻击者可以利用这些信息进行进一步的攻击，例如构造更复杂的攻击（如SQL注入、代码执行等）或者获取敏感信息。
2. **WordPress的Intelligence插件**：这是一个用于WordPress的插件，但具体功能未在描述中提及。其插件存在全路径披露漏洞，意味着在特定情况下，攻击者可以直接访问插件的内部文件，获取有关WordPress网站结构的额外信息。
3. **未认证攻击者访问**：提到“未授权的攻击者”意味着任何在没有有效身份验证或者权限验证的情况下试图访问或利用系统或服务的攻击者。
4. **补救措施**：对于此问题，用户需要立即更新到最新版本的插件（如果已发布），或者如果无法更新，应采取临时措施，比如禁用或移除插件，直到发布安全更新。同时，为了预防未来的漏洞，所有网站管理员应该定期更新其网站及其所有插件，以确保安全补丁得到应用，同时关注安全更新通知并遵循最佳安全实践。
5. **敏感信息的保护**：除了修复漏洞外，保护网站免受攻击还涉及确保所有敏感信息的加密存储，实施强密码策略，使用复杂的防火墙规则，以及定期进行安全审计和漏洞扫描。
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
漏洞类别
对路径名的限制不恰当(路径遍历)
漏洞标题
Intelligence <= 1.4.0 - Unauthenticated Full Path Disclosure
漏洞描述信息
The Intelligence plugin for WordPress is vulnerable to Full Path Disclosure in all versions up to, and including, 1.4.0. This is due the plugin not preventing direct access to the /vendor/levelten/intel/realtime/index.php file and display_errors being enabled. This makes it possible for unauthenticated attackers to retrieve the full path of the web application, which can be used to aid other attacks. The information displayed is not useful on its own, and requires another vulnerability to be present for damage to an affected website.
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
漏洞类别
信息暴露
漏洞标题
WordPress plugin Intelligence 安全漏洞
漏洞描述信息
WordPress和WordPress plugin都是WordPress基金会的产品。WordPress是一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。WordPress plugin是一个应用插件。 WordPress plugin Intelligence 1.4.0 版本及之前版本存在安全漏洞，该漏洞源于包含一个路径泄露漏洞。
CVSS信息
N/A
漏洞类别
其他