首页保安WordPress 插件中的错误允许订阅者删除网站

WordPress 插件中的错误允许订阅者删除网站

检测到严重错误 WordPress插件 拥有8.000多个设施,可以 允许经过身份验证的攻击者恢复和删除易受攻击的网站

广告
. WordPress 插件,其中 错误是的 Hashthemes 演示导入器.

另见: 黑客以 800 美元的价格出售了数百万司机的数据

WordPress插件错误

这是一个插件,旨在帮助管理员为 WordPress 主题导入演示,而无需处理安装依赖项。

该错误可能允许攻击者执行 重置到 WordPress 站点,但也会删除数据库和上传媒体的几乎所有内容。

Wordfence 工程师和威胁分析师 拉姆·加尔 他解释道 WordPress 插件未能正确执行随机数检查,导致 将 AJAX nonce 泄漏给易受攻击站点仪表板中的所有用户。 甚至 低权限用户和订阅者可以访问它。

另见: 谷歌:黑客利用 cookie 盗窃恶意软件瞄准 YouTube 用户

因此,登录的订阅者级用户可以利用该错误 删除所有网站内容, 运行 Hashthemes Demo Importer WordPress 插件的卸载版本。

Hashthemes 演示导入器错误

订阅者是可以删除易受攻击站点的用户类型之一,是WordPress站点中经常存在的默认WordPress用户角色(例如Contributor、Author、Editor和Administrator),以便注册用户可以在版块站点中进行评论注释。

通常情况下, 用户 只能使用站点仪表板编辑他们的个人资料,并且 无权访问其他管理员页面.

自 25 年 2021 月 XNUMX 日起,Hashthemes Demo Importer 的开发人员就已被告知该漏洞,但他们至少有一个月没有对 Wordfence 做出回应。

另见: 编码错误如何将 AirTags 变成恶意软件分发者

这促使研究人员联系 WordPress 团队 插件 20 月 XNUMX 日,某事导致 当天删除插件并发布遇到错误的补丁,四天后 (24 月 XNUMX 日)。

然而,尽管发布了安全更新,Hashthemes Demo Importer 的开发者并未提及版本 1.1.2 或插件更改日志中的更新。

资料来源:Bleeping Computer

数字要塞https://www.secnews.gr
追求梦想与生活!
spot_img

实时新闻