Automattic

Automattic 的公开漏洞报告、类别分布与常见资产。

攻击面

弱点类别分布

• 跨站脚本57
• 身份认证17
• 信息泄露12
• 业务逻辑11
• 不安全的直接对象引用9
• 跨站请求伪造9
• 其他弱点9
• 错误配置7
• 代码执行7
• SQL 注入6
• 访问控制6
• 开放重定向5
• 拒绝服务5
• 密码学缺陷4
• 服务端请求伪造1
• 路径遍历1

主要弱点

• 存储型 XSS23
• XSS（通用）20
• 认证缺陷（通用）11
• 反射型 XSS10
• 信息泄露9
• 跨站请求伪造9
• Unlabeled9
• IDOR9
• 业务逻辑错误7
• 开放重定向5

常见资产

• · 122
• www.tumblr.comURL · 11
• wordpress.comURL · 6
• intensedebate.comURL · 4
• WordPress Plugins & ThemesOTHER · 4
• *.tumblr.comWILDCARD · 4
• my.pressable.comURL · 3
• api.tumblr.comURL · 3
• CrowdsignalOTHER · 3
• simplenote.comURL · 1

高票报告

当前状态 166 份 · 全部 166

1. 405
   Denial of service to WP-JSON API by cache poisoning the CORS allow origin header拒绝服务 · 2020-04-16 · 中危
   $0资源消耗失控
2. 356
   Stored XSS in wordpress.com跨站脚本 · 2020-02-17 · 高危
   $0存储型 XSS
3. 202
   IDOR when editing users leads to Account Takeover without User Interaction at CrowdSignal不安全的直接对象引用 · 2020-11-18 · 严重
   $0IDOR
4. 177
   IDOR leads to Edit Anyone's Blogs / Websites不安全的直接对象引用 · 2020-11-18 · 高危
   $0IDOR
5. 170
   Sql injection on docs.atavist.comSQL 注入 · 2020-12-08 · 高危
   $0SQL 注入
6. 137
   SQL Injection Union BasedSQL 注入 · 2021-01-01 · 严重
   $0Unlabeled
7. 130
   [intensedebate.com] SQL Injection Time Based On /js/commentAction/SQL 注入 · 2021-01-01 · 严重
   $0SQL 注入
8. 127
   Email Verification bypass on signup业务逻辑 · 2020-12-03 · 高危
   $0违反安全设计原则（按标题归类）
9. 127
   Permanent DoS with one click.拒绝服务 · 2020-11-19 · 中危
   $0资源消耗失控
10. 118
    Stored XSS vulnerability in comments on *.wordpress.com跨站脚本 · 2019-10-21 · 中危
    $0存储型 XSS
11. 105
    XSS in Email Input [intensedebate.com]跨站脚本 · 2020-12-26 · 中危
    $0XSS（通用）
12. 102
    SQL Injection intensedebate.comSQL 注入 · 2021-01-11 · 中危
    $0SQL 注入
13. 96
    Woocommerce SQL Injection in WC_Report_Coupon_UsageSQL 注入 · 2025-06-24 · 中危
    $0SQL 注入
14. 96
    Stored XSS on app.crowdsignal.com + your-subdomain.survey.fm via Embed Media跨站脚本 · 2020-11-18 · 中危
    $0存储型 XSS
15. 94
    IDOR when moving contents at CrowdSignal不安全的直接对象引用 · 2020-11-18 · 高危
    $0IDOR
16. 93
    Race condition on add 1 free domain业务逻辑 · 2025-05-10 · 中危
    $0业务逻辑错误
17. 92
    DOM XSS on multiple Automattic domains through postMessages跨站脚本 · 2024-02-26 · 高危
    $0DOM 型 XSS
18. 91
    DOM-Based XSS in tumblr.com跨站脚本 · 2020-07-27 · 中危
    $0DOM 型 XSS
19. 84
    Authenticated Code Execution through Phar deserialization in CSV Importer as Shop manager in WooCommerce代码执行 · 2019-12-19 · 高危
    $0不可信数据反序列化
20. 80
    [intensedebate.com] SQL Injection Time Based on /changeReplaceOpt.phpSQL 注入 · 2021-01-01 · 严重
    $0SQL 注入
21. 78
    Stored XSS on https://app.crowdsignal.com/surveys/[Survey-Id]/question - Bypass跨站脚本 · 2020-11-18 · 高危
    $0存储型 XSS
22. 76
    XSS Vulnerability on Pressable/Atomic Hosting Platform via unescaped admin notices leads to code execution代码执行 · 2026-02-18 · 未评级
    $0Unlabeled
23. 75
    Reflected XSS in https://www.intensedebate.com/js/getCommentLink.php跨站脚本 · 2021-01-30 · 中危
    $0反射型 XSS
24. 71
    Unauthenticated access to webmail at maildev.happytools.dev leading to compromised wordpress site api.happytools.dev [RCE]信息泄露 · 2021-02-01 · 高危
    $0信息泄露
25. 70
    WordPress Flash XSS in *flashmediaelement.swf*跨站脚本 · 2016-07-10 · 未评级
    $0XSS（通用）