CVSS风险评分

自2014年启动WordPress漏洞数据库以来，我们一直缺乏一个重要因素，即漏洞风险评分。这部分是由于无法决定要使用哪个风险评分系统，没有时间实施该系统，也没有时间将风险评分分配给新漏洞（如果已实施该系统）。

今天，我们很高兴地宣布，所有新的WordPress漏洞数据库漏洞都将带有CVSS风险评分。但是，这些内容目前仅限于API和企业用户。

我们可以选择许多不同的漏洞风险评分系统，但最终我们决定使用最广泛接受和使用的通用漏洞评分系统（CVSS）。

我们甚至在Twitter上进行了一项民意调查，以帮助我们的用户做出决定，在最高投票的CVSS的帮助下，我们最终确定了决定：

如果您是企业用户，从今天开始，API将为所有新漏洞输出如下的CVSS风险评分：

{
  "widget-settings-importexport": {
    "friendly_name": "Widget Settings Importer/Exporter",
    "latest_version": "1.5.3",
    "last_updated": "2017-02-01T22:51:00.000Z",
    "popular": false,
    "vulnerabilities": [
      {
        "id": 10180,
        "title": "Widget Settings Importer/Exporter <= 1.5.3 - Authenticated Stored XSS",
        "created_at": "2020-04-15T15:42:26.000Z",
        "updated_at": "2020-04-16T05:00:05.000Z",
        "published_date": "2020-04-15T00:00:00.000Z",
        "description": "\"This flaw allowed an authenticated attacker with minimal, subscriber-level permissions to import and activate custom widgets containing arbitrary JavaScript into a site with the plugin installed.\"",
        "cvss": {
          "score": "7.4",
          "vector": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L"
        },
        "poc": null,
        "vuln_type": "XSS",
        "references": {
          "url": [
            "https://www.wordfence.com/blog/2020/04/unpatched-high-severity-vulnerability-in-widget-settings-importer-exporter-plugin/"
          ]
        },
        "fixed_in": null
      }
    ]
  }
}

您可以使用以下命令测试新的CVSS JSON输出：

$ curl -s -H "Authorization: Token token=YOUR_TOKEN" https://wpvulndb.com/api/v3/plugins/widget-settings-importexport | jq

到现在为止，所有添加到数据库中的漏洞都不会分配CVSS分数。我们希望有一天最终能够将CVSS分数最终添加到我们所有较旧的漏洞中，但这将是一项艰巨的任务。

从WPScan CLI工具的 3.8.1版本开始，如果提供的API令牌属于企业用户，它将在其STDOUT和JSON输出中输出CVSS分数。我们也希望在不久的将来将分数纳入我们的WordPress安全插件和在线WordPress安全扫描程序中。

YouTube视频参考

我们实现了一个新的youtube引用类型，该引用类型会在我们的Web UI中自动将链接显示为视频：

该youtube引用类型也是我们的API中的输出为所有用户喜欢下面，让我们的用户在自己的Web UI更容易显示YouTube视频：

[..SNIP..]
{
        "id": 9150,
        "title": "Yoast SEO <= 9.1 - Authenticated Race Condition",
        "created_at": "2018-11-20T10:42:14.000Z",
        "updated_at": "2020-04-15T11:10:06.000Z",
        "published_date": "2018-11-20T00:00:00.000Z",
        "description": "According to the changelog,\r\n\r\n\"Race Condition which leads to command execution, by users with SEO Manager roles.\"",
        "cvss": null,
        "poc": null,
        "vuln_type": "RCE",
        "references": {
          "url": [
            "https://plugins.trac.wordpress.org/changeset/1977260/wordpress-seo",
            "https://packetstormsecurity.com/files/150497/",
            "https://github.com/Yoast/wordpress-seo/pull/11502/commits/3bfa70a143f5ea3ee1934f3a1703bb5caf139ffa"
          ],
          "cve": [
            "2018-19370"
          ],
          "youtube": [
            "nL141dcDGCY"
          ]
        },
        "fixed_in": "9.2"
      }
[..SNIP..]

CVSS风险评分及更多

CVSS风险评分

YouTube视频参考