前沿数码资讯：​WordPress插件漏洞可以被完全接管网站

科技、数码、互联网新闻如今都成为了大众所关注的热点了，因为在我们的生活当中如今已经是处处与这些相关了，不论是手机也好，电脑也好，又或者是智能手表也好，与之都相关，那么今天小编也是为大家来推荐一篇关于互联网科技数码方向的文章，希望大家会喜欢哦。

一个Word Press插件被发现包含“容易开发”的安全问题，可以被利用来完全接管脆弱的网站。

插件的核心，WP数据库重置，是用来重置数据库-完全或基于特定的表-而不需要经过标准的Word Press安装过程。

周四，Wordfence安全小组说，1月7日发现了两个严重的漏洞。根据Wordfence的Chloe Chamberland的说法，任何一个漏洞都可以用来强制一个完整的网站重置或接管。

跟踪为CVE-2020-7048，第一个关键安全缺陷已发布CVSS得分9.1分..由于没有任何数据库重置功能是通过任何检查或安全检查来安全的，任何用户都可以在没有身份验证的情况下重置他们希望的任何数据库表。

另请参阅：Word Press插件中的关键bugInfiniteWP，WP Time Capsule将32万个网站暴露于攻击中

要把一个网站重置为基本功能，只需要简单的请求就可以了——在几秒钟内删除帖子、页面、评论、用户、上传的内容等等。

另一个漏洞被跟踪为CVE-2020-7047，并发布CVSS评分为8.1，允许任何经过认证的用户，无论其权限级别如何，不仅授予自己上帝级别的管理特权，而且“通过简单的请求将所有其他用户从表中删除”。

Chamberland说：“每当wp_users表被重置时，它就会从用户表中删除所有用户，包括任何管理员，除了当前登录的用户。“发送请求的用户将自动升级到管理员，即使他们只是一个订阅者。”

因此，作为唯一的管理员，攻击者将能够劫持一个脆弱的网站，并完全控制内容管理系统。

1月8日，WP数据库重置的开发人员在安全小组核实了他们的发现之后才意识到安全问题。到了1月13日，开发商已经响应承诺，将于1月14日发布补丁，导致几天后公开披露。

建议插件的用户立即更新到最新版本的WP数据库重置，3.15。在编写本报告时，只有5.2%的用户进行了升级。

本周早些时候，无限WP客户端和WP Time Capsule Word Press插件的用户被警告要将他们的软件更新到现有的最新版本，以减少通过新报告的漏洞被利用的风险。

这两个插件加起来大约在32万个活跃网站上使用。代码中发现的逻辑错误可以被利用来允许攻击者在没有密码的情况下登录，而且由于利用这些逻辑错误的恶意有效负载可以绕过防火墙保护，更新是至关重要的。

　　免责声明：本文由用户上传，与本网站立场无关。财经信息仅供读者参考，并不构成投资建议。投资者据此操作，风险自担。 如有侵权请联系删除！