一、 漏洞 CVE-2021-39341 基础信息
漏洞信息
                                        # OptinMonster <= 2.6.4 未受保护的 REST-API 路径

## 漏洞概述
OptinMonster WordPress 插件由于授权验证不足，存在敏感信息泄露和未经授权设置更新的安全漏洞。攻击者可以利用这些漏洞注入恶意网络脚本。

## 影响版本
版本 2.6.4 及之前的版本受到影响。

## 漏洞细节
漏洞源于 `~/OMAPI/RestApi.php` 文件中的 `logged_in_or_has_api_key` 函数。该函数未能正确进行授权验证，导致未经授权的用户可以获取敏感信息并更新设置。

## 漏洞影响
攻击者可能利用这些漏洞注入恶意脚本，导致敏感信息泄露和未经授权的设置改动。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
OptinMonster <= 2.6.4 Unprotected REST-API Endpoints
来源：美国国家漏洞数据库 NVD
漏洞描述信息
The OptinMonster WordPress plugin is vulnerable to sensitive information disclosure and unauthorized setting updates due to insufficient authorization validation via the logged_in_or_has_api_key function in the ~/OMAPI/RestApi.php file that can used to exploit inject malicious web scripts on sites with the plugin installed. This affects versions up to, and including, 2.6.4.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
授权机制不恰当
来源：美国国家漏洞数据库 NVD
漏洞标题
WordPress plugin Google Maps Easy安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
WordPress是WordPress（Wordpress）基金会的一套使用PHP语言开发的博客平台。该平台支持在PHP和MySQL的服务器上架设个人博客网站。 WordPress 插件存在安全漏洞，该漏洞源于由于在 ~/modules/marker_groups/views/tpl/mgrEditMarkerGroup.php 文件中找到的几个参数进行的输入验证和清理不足，Google Maps Easy WordPress 插件容易受到存储跨站点脚本的攻击，该文件允许具有管理用户访问权限的攻击者注入任
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2021-39341 的公开POC
# POC 描述 源链接 神龙链接
1 The OptinMonster WordPress plugin is vulnerable to sensitive information disclosure and unauthorized setting updates due to insufficient authorization validation via the logged_in_or_has_api_key function in the ~/OMAPI/RestApi.php file that can used to exploit inject malicious web scripts on sites with the plugin installed. This affects versions up to, and including, 2.6.4. https://github.com/projectdiscovery/nuclei-templates/blob/main/http/cves/2021/CVE-2021-39341.yaml POC详情
三、漏洞 CVE-2021-39341 的情报信息