一、 漏洞 CVE-2015-8351 基础信息
漏洞信息
                                        # N/A

## 漏洞概述
Gwolle Guestbook插件中存在的远程文件包含漏洞允许经过身份验证的远程用户执行任意PHP代码。

## 影响版本
Gwolle Guestbook插件版本1.5.4之前

## 细节
在WordPress上运行的Gwolle Guestbook插件中，如果`allow_url_include`功能开启，攻击者可以通过向`frontend/captcha/ajaxresponse.php`文件的`abspath`参数传递一个URL来执行任意PHP代码。此外，即使未开启`allow_url_include`功能，攻击者也可以通过使用目录遍历序列包含和执行任意本地文件。

## 影响
允许远程用户执行任意PHP代码，可能导致服务器被完全接管。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
N/A
来源：美国国家漏洞数据库 NVD
漏洞描述信息
PHP remote file inclusion vulnerability in the Gwolle Guestbook plugin before 1.5.4 for WordPress, when allow_url_include is enabled, allows remote authenticated users to execute arbitrary PHP code via a URL in the abspath parameter to frontend/captcha/ajaxresponse.php. NOTE: this can also be leveraged to include and execute arbitrary local files via directory traversal sequences regardless of whether allow_url_include is enabled.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
N/A
来源：美国国家漏洞数据库 NVD
漏洞标题
WordPress Gwolle Guestbook插件安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
WordPress是WordPress软件基金会的一套使用PHP语言开发的博客平台，该平台支持在PHP和MySQL的服务器上架设个人博客网站。Gwolle Guestbook是其中的一个留言板插件。 WordPress Gwolle Guestbook插件1.5.3及之前版本中存在远程文件包含漏洞，该漏洞源于程序没有充分过滤用户提交的输入。远程攻击者可通过向frontend/captcha/ajaxresponse.php文件发送带有URL的‘abspath’参数利用该漏洞执行任意的PHP代码。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
代码注入
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2015-8351 的公开POC
# POC 描述 源链接 神龙链接
1 this script is exploit for wordpress old plugin gwolle https://github.com/G01d3nW01f/CVE-2015-8351 POC详情
2 WordPress Plugin Gwolle Guestbook 1.5.3 - Remote File Inclusion https://github.com/igruntplay/exploit-CVE-2015-8351 POC详情
3 WordPress Plugin Gwolle Guestbook 1.5.3 - Remote File Inclusion https://github.com/G4sp4rCS/exploit-CVE-2015-8351 POC详情
三、漏洞 CVE-2015-8351 的情报信息