wordpress rest api 漏洞又来了CVE-2017-5487 上次是修改文章内容这次可是泄露用户数据

在2月份的时候， wordpress rest api 曾经爆出过越权漏洞 ，结果是黑客可以修改文章内容。3月3日，REST API又出现了越权漏洞，成功的利用这个漏洞，可以绕过管理员权限泄露用户数据。

CVE-2017-5487影响范围

影响版本WordPress 4.7.0，目前poc已经在exploitdb上公开

https://www.exploit-db.com/exploits/41497/

POC看起来比较简单，就是调用了wordpress的rest api接口进行users查询

问题出在检查用户的权限上

通过检查代码，可以看到用户请求首先进入get_items_permissions_check模块进行权限检查，当请求users参数时，用来检查请求是否有读的权限，否则爆出WP_Error错误。

绿盟科技的研究员称，但在利用漏洞之后，

有意思的事情发生了，我们什么事情也没做，竟然完美的避开了权限检查的三个判定，接下来进入下个环节get_items函数，检索所有的用户。

但查询返回的可以查询的用户信息是有约束条件的，这里可以查询的用户发表过公开的文章，包括日志、页面或者附件。

那是因为REST API不安全吗？

查询一下历史记录就可以看到 REST API漏洞出过不少次，那是因为这东西设计的很烂吗？也不能完全这么说，还可以通过安全措施来降低安全风险的，这个方面可以看看这份 REST API 安全设计指南