写点什么

WordPress 插件被曝重大 bug,超 20 万个网站受影响

  • 2020-02-18
  • 本文字数:815 字

    阅读完需:约 3 分钟

WordPress插件被曝重大bug,超20万个网站受影响


近日,WebARX 安全公司在官网披露WordPress 中一款名为ThemeGrill Demo Importer的插件存在重大 bug,它允许给未经身份验证的用户提供管理员特权。


一旦攻击者以管理员身份登录,他就能将网站整个数据库还原为默认状态。


目前,这个插件已经被安装在超过 200000 个网站上。据 WebARX 表示,该漏洞影响 1.3.4 和 1.6.1 版本之间的所有 ThemeGrill Demo Importer 插件。



根据 WordPress 官方插件存储库的统计数据表明,最主要的使用版本是 1.4 到 1.6,占据当前插件安装总数的 98%以上。


如果漏洞被攻击者利用,后果非常严重。


据悉,ThemeGrill Demo Importer 插件由ThemeGrill开发,它能让网站所有者在自己的 ThemeGrill 主题中导入 demo 内容,从而获得示例并更快地搭建网站。


在昨天发布的一份报告中,WebARX 表示,老旧版本的 ThemeGrill Demo Importer 容易受到未经身份验证的攻击者的远程攻击。


黑客可以将 crafted payload 发送到易受攻击的网站,并在插件内触发漏洞。


此外,如果网站数据库包含名为“admin"的用户,攻击者则获得对该用户的访问权限,并且具有对该网站的 full administrator rights。



据了解,WebARX 的研究人员在 2 月 6 日发现该漏洞,并于当天将其报告给开发人员。


10 天以后,ThemeGrill 发布修复漏洞的新版本 1.6.2。在撰写本文时,修补后的插件下载数大约为 23000,这表明使用 ThemeGrill Demo Importer 插件的大多数网站可能仍处于危险中。


截至目前,这是今年被披露的 WordPress 插件中的第二个漏洞,它可能允许攻击者清除网站数据库。


就在上个月,Wordfence 团队在 WP Database Reset插件中发现类似问题,而该插件已安装在 80000 多个网站上。


根据 ZDNet 的报道,今年已经发现 3 起值得注意的 WordPress 漏洞:


1.GDPR Cookie Consent 插件中存储的跨站点漏洞,有超过 700000 个网站使用;


2.Code Snippet 插件中 CSRF-to-RCE 漏洞,有超过 200000 个网站使用;


3.InfiniteWP 插件中身份验证绕过漏洞,有超过 300000 个网站使用。


2020-02-18 14:064099
用户头像
万佳 前InfoQ编辑

发布了 677 篇内容, 共 366.6 次阅读, 收获喜欢 1802 次。

关注

评论

发布
暂无评论
发现更多内容

开通InfoQ写作平台测试

ytl

新人工作的时候遇到问题怎么办

波波

学习 编程 职场 新人

系统的伸缩性以及扩展性设计

Janenesome

读书笔记 程序员 架构

瞎琢磨先生の好物推荐(软件/网站)

瞎琢磨先生

习惯与惯性

伯薇

个人成长 习惯 习惯养成 提升能力

赚钱的6个层次

品牌运营|陆晓明

创业 技术人 赚钱思维 层次 商机

年轻人的世界

boyzcl

年轻人 系列

Redis学习笔记(基础命令)

编程随想曲

redis

准备重读测试驱动开发

escray

学习 CSD 认证实战营

JAVA小抄-000-初始

NoNoGirl

Java

对你来说,阅读是另一种生活的方式吗?

叶小鍵

UITableView 手势延迟导致subview无法完成两次绘制

AlienJunX

重新认识Go语言中的slice

麻瓜镇

Go 语言

Redis源码之常用数据结构和函数

心平气和

redis

关于CodeReview的一些思考

Yezhiwei

婚姻就是合伙开公司,各自做好自己的工作很重要

鼎玉谷

管理 婚姻 公司 付出 人情

关于「后浪」,ta 们在说什么?

boyzcl

年轻人 系列 后浪

我也曾对架构师的力量一无所知

曲水流觞TechRill

瞎琢磨先生の常用的 linux 命令

瞎琢磨先生

Linux Shell

读懂才会用 : Redis的多线程

小眼睛聊技术

Java redis 学习 程序员 编程语言 后端

如何利用数据异构实现多级缓存或者数据迁移

松花皮蛋me

缓存 分布式 分库分表

详解iOS性能优化,安装包瘦身

Usama Bin Laden

ios 源码分析 性能优化 性能 原理

Hello World !

ATGU:阿宝哥

Java Hello World ! Info

基于vue(element ui) + ssm + shiro 的权限框架

吴邪

关于沟通成本的一些认知

Geek_reg5m9

项目管理 软件开发

在今天种下一棵树

陈医僧Ethan

感悟 育儿

[读书随笔]从哲学上的问题分类看TDD

老狗

哲学 TDD

如何对Code Review的评论进行分级

宝玉

代码审查 Code Review

金融「中台」十宗罪

FinClip

中台 企业中台 业务中台

技术人赚钱的9个路线

品牌运营|陆晓明

副业 赚钱 技术人 码农 生财有术

信仰

小天同学

人生 个人成长 思考 读书感悟 信仰

WordPress插件被曝重大bug,超20万个网站受影响_安全_万佳_InfoQ精选文章