关于LoveKKComment的一处重要安全漏洞

今天在查找该插件的相关资料时发现了一个有关这个邮件通知插件的重要安全漏洞的一篇文章，这个漏洞可以泄露发件邮箱的账号密码，十分危险

以下摘自该漏洞发现者 仙岛驿站 的博客

---

邮件通知

前天博客收到回复的时候没有邮件通知，因为以前的邮箱密码忘记了一直没有配置邮件通知插件

然后找回密码又莫名其妙500错误索性找了个新的

看了一圈最近在更新的就这个LoveKKComment 插件在更新于是就他啦~

漏洞详情

接上篇LoveKKComment插件SMTP保存配置卡死在排查的时候发现debug默认日志保存文件后缀是txt当时留意了一下，因为txt在浏览器是可以直接访问的，今天在测试的时候又看了下debug.txt文件内容发现直接把SMTP 配置明文写在了里面，然后浏览器可以直接访问debug.txt文件绝对路径/usr/plugins/LoveKKComment/debug.txt

不出意外阿里云推送 和 Send Cloud 的API USER及API KEY 也应该是明文的，并且Debug是默认启用的。这样就不只是会泄露访客的邮箱作者的邮箱还可以直接拿到邮箱的账户和密码。

原文地址：https://www.xde.io/netsec/cve-666.html

---

而经过我的测试，这个漏洞是真实存在的，并且我成功进入了两个使用这个插件的博主的邮箱

---

解决方法

进入插件设置 关闭Debug模式 删除目录下的debug.txt

我认为这是目前最有效的方法了...

---

• 分类： 默认分类
• 标签： 无标签