写点什么

WordPress 插件被曝重大 bug,超 20 万个网站受影响

  • 2020-02-18
  • 本文字数:815 字

    阅读完需:约 3 分钟

WordPress插件被曝重大bug,超20万个网站受影响


近日,WebARX 安全公司在官网披露WordPress 中一款名为ThemeGrill Demo Importer的插件存在重大 bug,它允许给未经身份验证的用户提供管理员特权。


一旦攻击者以管理员身份登录,他就能将网站整个数据库还原为默认状态。


目前,这个插件已经被安装在超过 200000 个网站上。据 WebARX 表示,该漏洞影响 1.3.4 和 1.6.1 版本之间的所有 ThemeGrill Demo Importer 插件。



根据 WordPress 官方插件存储库的统计数据表明,最主要的使用版本是 1.4 到 1.6,占据当前插件安装总数的 98%以上。


如果漏洞被攻击者利用,后果非常严重。


据悉,ThemeGrill Demo Importer 插件由ThemeGrill开发,它能让网站所有者在自己的 ThemeGrill 主题中导入 demo 内容,从而获得示例并更快地搭建网站。


在昨天发布的一份报告中,WebARX 表示,老旧版本的 ThemeGrill Demo Importer 容易受到未经身份验证的攻击者的远程攻击。


黑客可以将 crafted payload 发送到易受攻击的网站,并在插件内触发漏洞。


此外,如果网站数据库包含名为“admin"的用户,攻击者则获得对该用户的访问权限,并且具有对该网站的 full administrator rights。



据了解,WebARX 的研究人员在 2 月 6 日发现该漏洞,并于当天将其报告给开发人员。


10 天以后,ThemeGrill 发布修复漏洞的新版本 1.6.2。在撰写本文时,修补后的插件下载数大约为 23000,这表明使用 ThemeGrill Demo Importer 插件的大多数网站可能仍处于危险中。


截至目前,这是今年被披露的 WordPress 插件中的第二个漏洞,它可能允许攻击者清除网站数据库。


就在上个月,Wordfence 团队在 WP Database Reset插件中发现类似问题,而该插件已安装在 80000 多个网站上。


根据 ZDNet 的报道,今年已经发现 3 起值得注意的 WordPress 漏洞:


1.GDPR Cookie Consent 插件中存储的跨站点漏洞,有超过 700000 个网站使用;


2.Code Snippet 插件中 CSRF-to-RCE 漏洞,有超过 200000 个网站使用;


3.InfiniteWP 插件中身份验证绕过漏洞,有超过 300000 个网站使用。


2020-02-18 14:064192
用户头像
万佳 前InfoQ编辑

发布了 677 篇内容, 共 382.0 次阅读, 收获喜欢 1805 次。

关注

评论

发布
暂无评论
发现更多内容

三言两语说透webpack对vue的编译

互联网工科生

源码 Vue webpack

10. 数据类型 - 元组详解

茶桁

Python 数据类型 tuple

erp系统都有哪几家,如何选择适合自己企业的erp系统?

优秀

ERP系统

JMeter源码解析之结果收集器

优测云服务平台

Jmeter 性能测试 压力测试 #性能测试

使用appuploader工具流程(Windows版本)

使用 RKE 方式搭建 K8s 集群并部署 NebulaGraph

NebulaGraph

k8s

AI融入管理软件,是否会是下一个“ERP时代”的前奏?

B Impact

吴声年度演讲,关于Notion 的“模版”和 CLG |highlight

B Impact

让三驾马车奔腾:华为如何推动空间智能化发展?

脑极体

全屋智能

Zebec Protocol ,不止于 Web3 世界的 “Paypal”

BlockChain先知

HTML5 Canvas 和 SVG哪个简单好用

2D3D前端可视化开发

html5 SVG 数据可视化 canvas 前端设计

斩获可信云最佳实践,天翼云存储资源盘活系统助力“一云多芯”!

天翼云开发者社区

云计算 存储

拨开迷雾:利用全链路消息跟踪揭示系统奥秘

鲸品堂

数据库 分布式 全链路 企业号 8 月 PK 榜

Llama2 评测大公开!知识库场景下能否赶超 ChatGPT?

Zilliz

Zilliz Towhee ChatGPT llama llama2

Zebec Protocol ,不止于 Web3 世界的 “Paypal”

股市老人

TextBrewer:融合并改进了NLP和CV中的多种知识蒸馏技术、提供便捷快速的知识蒸馏框架、提升模型的推理速度,减少内存占用

汀丶人工智能

人工智能 自然语言处理 知识蒸馏

Zebec Protocol ,不止于 Web3 世界的 “Paypal”

鳄鱼视界

AREX 如何支持 Dubbo 自定义私有协议的录制回放

AREX 中文社区

dubbo 自动化测试 流量回放 流量录制

用低代码开发平台构建高效敏捷工作流

力软低代码开发平台

适合自己企业的erp系统怎么选?这8条关键因素缺一不可!

优秀

ERP系统

k8s安装prometheus

tiandizhiguai

k8s Promethues

并发中atomic BUG分享

FunTester

梳理日常开发涉及的负载均衡

WizInfo

负载均衡 网关

【腾讯云 Cloud Studio 实战训练营】使用Cloud Studio构建SpringSecurity权限框架

小鲍侃java

Java' spring、

WordPress插件被曝重大bug,超20万个网站受影响_安全_万佳_InfoQ精选文章