第一个：PHP Code Execution and Persistent Cross Site scripting Vulnerabilities via ‘setup-config.php’ page Trust wave说wp的装置脚本文件有平安风险，装置时可以运用攻击者本人的数据库，装置后登陆wp后台，主题编辑可以写恣意PHP代码，然后近程命令执行就是这样来的。而XSS是攻击者经过修正本人数据库里的值(比方评论、文章等)为歹意的XSS脚本，然后用户拜访wp就会中招。这个很好了解，只是满足这样攻击场景的太少了……所以这第一个CVE太忽悠。
第二个：Multiple Cross Site scripting Vulnerabilities in ‘setup-config.php’ page 我写出了POC了，原理是北京晓得创宇大牛以前发的一篇《基于CSRF的XSS攻击》，最新的还无效(官方应该不会发布补丁)，只是这个场景和第一个一样少的不幸……不过Trust wave与wp官方的重点没放在这。
第三个：MySQL Server Username/Password Disclosure Vulnerability via ‘setup-config.php’ page 暴力无限制，这个前提是不是“需求wp没装置过”，我不晓得，没测试。有兴味的同窗本人研讨。