WordPress 5.6-5.7-经过身份验证的XXE（CVE-2021-29447）

# WordPress 5.6-5.7-经过身份验证的XXE（CVE-2021-29447）

能够上传文件的用户（例如Author）可以利用媒体库中的XML解析问题来导致XXE攻击。WordPress使用了一个名为ID3的MP3解析库，该库受到XML外部实体（XXE）漏洞的影响，该漏洞会影响PHP 8及更高版本。

PoC：

“`xml

” >
“`

decryption.php：

“`php